CVE-2026-80312

सारांश

Apache Camel OAuth घटक में अनुचित प्रमाणीकरण (Improper Authentication) की भेद्यता। यह समस्या Apache Camel को प्रभावित करती है: 4.11.0 से 4.18.5 से पहले तक, 4.19.0 से 4.22.1 से पहले तक। जो camel-oauth प्रोसेसर किसी रूट की सुरक्षा करते थे, उन्होंने प्रमाणीकरण पूरा न हो पाने पर एक्सचेंज को रोका नहीं। जहाँ प्रमाणित सत्र स्थापित करने में विफलता को रूटिंग समाप्त करनी चाहिए थी और कॉलर को त्रुटि लौटानी चाहिए थी, वहाँ प्रोसेसर बिना रुके आगे बढ़ गए और नियंत्रण रूट को लौटा दिया, इसलिए अनुरोध संरक्षित एंडपॉइंट तक ऐसे पहुँचता रहा जैसे प्रमाणीकरण सफल हो गया हो। इसका प्रभाव एक फेल-ओपन प्रमाणीकरण गार्ड है: एक अप्रमाणित कॉलर रूट के अगले चरण तक पहुँच गया। यह स्थिति OAuth आवश्यक होने के लिए कॉन्फ़िगर किए गए रूट के सामान्य अनुरोध पथ पर पहुँचती है, और इसके लिए किसी विशेष कॉन्फ़िगरेशन या कॉलर की ओर से पूर्व पहुँच की आवश्यकता नहीं है। Apache Camel 4.23.0 में अपग्रेड करें, जो इस समस्या को ठीक करता है। 4.18.x LTS रिलीज़ स्ट्रीम पर उपयोगकर्ताओं को 4.18.5 में अपग्रेड करना चाहिए। 4.22.x LTS रिलीज़ स्ट्रीम पर उपयोगकर्ताओं को 4.22.1 में अपग्रेड करना चाहिए। अब प्रोसेसर एक्सचेंज को रोक देते हैं और जब भी प्रमाणित सत्र स्थापित नहीं हो पाता तो उपयुक्त त्रुटि स्थिति सेट कर देते हैं, इसलिए विफल प्रमाणीकरण अब रूट के संरक्षित भाग तक नहीं पहुँचता। जो परिनियोजन तुरंत अपग्रेड नहीं कर सकते, उन्हें OAuth प्रोसेसर के बाद एक स्पष्ट प्राधिकरण जाँच रखनी चाहिए, बजाय इस पर निर्भर रहने के कि यह एक्सचेंज को रोक देगा, और सत्यापित करना चाहिए कि विफलता पर रूट रुक जाता है।

स्रोत

• CVE-2026-80312PoC

  CVE-2026-80312 के लिए रन करने योग्य प्रूफ-ऑफ-कॉन्सेप्ट, जो Apache Camel camel-oauth में एक फेल-ओपन OAuth गार्ड है, जिसमें प्रभावित और ठीक किए गए Spring Boot और Quarkus रीप्रोड्यूसर शामिल हैं।