CVE-2026-84178

सारांश

Apache Camel OAuth घटक में क्रॉस-साइट रिक्वेस्ट फ़ॉर्जरी (CSRF) भेद्यता। यह समस्या Apache Camel को प्रभावित करती है: 4.11.0 से 4.18.5 से पहले तक, 4.19.0 से 4.22.1 से पहले तक। प्राधिकरण कोड कॉलबैक में कोई स्टेट पैरामीटर नहीं था जो इसे उस प्राधिकरण अनुरोध से बांधता जिसने प्रवाह शुरू किया था, और कॉलबैक ने इसकी पुष्टि नहीं की। इसलिए किसी भी ब्राउज़र में प्राप्त प्राधिकरण कोड को कॉलबैक पर भुनाया जा सकता था और उस सत्र से जोड़ा जा सकता था जिसने इसे प्रस्तुत किया, जो लॉगिन क्रॉस-साइट रिक्वेस्ट फ़ॉर्जरी है: एक पीड़ित को चुपचाप उस पहचान के रूप में साइन इन किया जा सकता है जिसे हमलावर नियंत्रित करता है, ताकि पीड़ित जो कार्रवाइयाँ फिर करता है, और जो डेटा फिर सबमिट करता है, वे हमलावर के खाते में पहुँच जाएँ। इसी अमान्य कॉलबैक हैंडलिंग ने पोस्ट-ऑथेंटिकेशन रीडायरेक्ट लक्ष्य को भी प्रभावित करने की अनुमति दी, जिससे एक विश्वसनीय ओरिजिन से ओपन रीडायरेक्ट मिला। स्टेट जाँच प्राधिकरण कोड भुनाए जाने से पहले चलती है, इसलिए ये पथ पहचान प्रदाता के साथ किसी भी इंटरैक्शन के बिना पहुँच योग्य हैं। Apache Camel 4.23.0 में अपग्रेड करें, जो इस समस्या को ठीक करता है। 4.18.x LTS रिलीज़ स्ट्रीम पर उपयोगकर्ताओं को 4.18.5 में अपग्रेड करना चाहिए। 4.22.x LTS रिलीज़ स्ट्रीम पर उपयोगकर्ताओं को 4.22.1 में अपग्रेड करना चाहिए। प्राधिकरण अनुरोध अब सत्र से बंधा एक स्टेट मान जारी करता है, और कॉलबैक उस अनुरोध को अस्वीकार करता है जिसका स्टेट अनुपस्थित है या मेल नहीं खाता, 400 प्रतिक्रिया के साथ रूट को रोकते हुए। उन डिप्लॉयमेंट के लिए जो तुरंत अपग्रेड नहीं कर सकते, प्राधिकरण कोड प्रवाह को उस घटक में समाप्त करें जो अपना स्वयं का स्टेट बाइंडिंग करता है, बजाय Camel कॉलबैक पर निर्भर रहने के। ध्यान दें कि अपग्रेड करने के बाद, ऐसे प्रॉक्सी के पीछे का डिप्लॉयमेंट जो कॉलबैक क्वेरी स्ट्रिंग को हटा देता है या फिर से लिख देता है, 400 प्रतिक्रियाएँ देखना शुरू कर देगा, क्योंकि स्टेट पैरामीटर को राउंड ट्रिप में बचे रहना चाहिए।

स्रोत

• CVE-2026-84178PoC

  CVE-2026-84178 के लिए रन करने योग्य प्रूफ-ऑफ-कॉन्सेप्ट रिप्रोड्यूसर, जो Apache Camel camel-oauth के authorization-code callback में एक लॉगिन CSRF है जो state की पुष्टि किए बिना कोड को redeem करता है।