CVE-2026-85317

Résumé

Vulnérabilité d'utilisation d'un cache contenant des informations sensibles dans le composant HTTP d'Apache Camel. Ce problème affecte Apache Camel : de 4.0.0 avant 4.18.5, de 4.19.0 avant 4.22.1. Le cache de jetons du client OAuth2 est global au JVM, et sa clé omettait plusieurs des champs qui déterminent ce qu'un jeton autorise réellement : la portée demandée, l'indicateur de ressource et le point de terminaison de jeton auprès duquel le jeton a été obtenu. Deux points de terminaison ne différant que par ces champs partageaient donc une entrée de cache, et un point de terminaison pouvait se voir servir un jeton émis pour une portée différente, une ressource différente, ou par un serveur d'autorisation différent. La conséquence est une requête portant une autorité plus large que celle pour laquelle le point de terminaison était configuré, ou un jeton présenté à une partie pour laquelle il n'a pas été émis. L'exploitation nécessite un déploiement configurant plus d'un point de terminaison OAuth2 différant exactement par ces champs, ce qui explique pourquoi la gravité est évaluée comme faible. Effectuez la mise à niveau vers Apache Camel 4.23.0, qui corrige le problème. Les utilisateurs des versions LTS 4.18.x doivent effectuer la mise à niveau vers 4.18.5. Les utilisateurs des versions LTS 4.22.x doivent effectuer la mise à niveau vers 4.22.1. La clé de cache inclut désormais chaque champ qui façonne le jeton, de sorte que les entrées ne sont plus partagées entre des points de terminaison qui diffèrent par l'un de ces champs. Pour les déploiements qui ne peuvent pas effectuer la mise à niveau immédiatement, exécutez les points de terminaison qui diffèrent par la portée, l'indicateur de ressource ou le point de terminaison de jeton dans des JVM séparées afin qu'ils ne partagent pas le cache.

Sources

• CVE-2026-85317PoC

  Preuve de concept Spring Boot exécutable reproduisant CVE-2026-85317, où le cache de jetons OAuth2 de camel-http ignore le scope, la ressource et le point de terminaison de jeton, ainsi qu'un contrôle corrigé.