CVE-2026-80312

Résumé

Vulnérabilité d'authentification incorrecte dans le composant OAuth d'Apache Camel. Ce problème affecte Apache Camel : de 4.11.0 avant 4.18.5, de 4.19.0 avant 4.22.1. Les processeurs camel-oauth qui protègent une route n'arrêtaient pas l'échange lorsque l'authentification ne pouvait pas être effectuée. Là où un échec d'établissement d'une session authentifiée aurait dû mettre fin au routage et renvoyer une erreur à l'appelant, les processeurs laissaient passer et rendaient le contrôle à la route, de sorte que la requête continuait vers le point de terminaison protégé comme si l'authentification avait réussi. L'effet est une garde d'authentification à défaillance ouverte (fail-open) : un appelant non authentifié atteignait ce que la route faisait ensuite. La condition est atteinte sur le chemin de requête ordinaire d'une route configurée pour exiger OAuth, et ne nécessite aucune configuration particulière ni aucun accès préalable de la part de l'appelant. Effectuez la mise à niveau vers Apache Camel 4.23.0, qui corrige le problème. Les utilisateurs des versions LTS 4.18.x doivent effectuer la mise à niveau vers 4.18.5. Les utilisateurs des versions LTS 4.22.x doivent effectuer la mise à niveau vers 4.22.1. Les processeurs arrêtent désormais l'échange et définissent le statut d'erreur approprié chaque fois qu'une session authentifiée ne peut pas être établie, de sorte qu'une authentification échouée n'atteint plus la partie protégée de la route. Pour les déploiements qui ne peuvent pas être mis à niveau immédiatement, placez une vérification d'autorisation explicite après le processeur OAuth plutôt que de compter sur lui pour interrompre l'échange, et vérifiez que la route s'arrête en cas d'échec.

Sources

• CVE-2026-80312PoC

  Preuve de concept exécutable pour CVE-2026-80312, une garde OAuth à défaillance ouverte (fail-open) dans Apache Camel camel-oauth, avec des reproducers Spring Boot et Quarkus affectés et corrigés.