CVE-2026-84178

Résumé

Vulnérabilité de falsification de requête intersite (CSRF) dans le composant OAuth d'Apache Camel. Ce problème affecte Apache Camel : de 4.11.0 avant 4.18.5, de 4.19.0 avant 4.22.1. Le callback du code d'autorisation ne portait pas de paramètre state le liant à la requête d'autorisation qui a initié le flux, et le callback n'en vérifiait aucun. Un code d'autorisation obtenu dans n'importe quel navigateur pouvait donc être échangé au niveau du callback et associé à la session qui le présentait, ce qui constitue une falsification de requête intersite de connexion : une victime peut être connectée silencieusement sous une identité contrôlée par l'attaquant, de sorte que les actions qu'elle effectue ensuite, et les données qu'elle soumet ensuite, aboutissent dans le compte de l'attaquant. La même gestion non validée du callback permettait également d'influencer la cible de redirection post-authentification, donnant lieu à une redirection ouverte depuis une origine de confiance. La vérification du state s'exécute avant l'échange du code d'autorisation, de sorte que ces chemins sont atteignables sans aucune interaction avec le fournisseur d'identité. Effectuez la mise à niveau vers Apache Camel 4.23.0, qui corrige le problème. Les utilisateurs des versions LTS 4.18.x doivent effectuer la mise à niveau vers 4.18.5. Les utilisateurs des versions LTS 4.22.x doivent effectuer la mise à niveau vers 4.22.1. La requête d'autorisation émet désormais une valeur state liée à la session, et le callback rejette une requête dont le state est absent ou ne correspond pas, en arrêtant la route avec une réponse 400. Pour les déploiements qui ne peuvent pas être mis à niveau immédiatement, terminez le flux du code d'autorisation dans un composant qui effectue sa propre liaison de state plutôt que de s'appuyer sur le callback de Camel. Notez qu'après la mise à niveau, un déploiement derrière un proxy qui supprime ou réécrit la chaîne de requête du callback commencera à renvoyer des réponses 400, car le paramètre state doit survivre à l'aller-retour.

Sources

• CVE-2026-84178PoC