CVE-2026-85317

सारांश

Apache Camel HTTP घटक में संवेदनशील जानकारी युक्त कैश के उपयोग की भेद्यता। यह समस्या Apache Camel को प्रभावित करती है: 4.0.0 से 4.18.5 से पहले तक, 4.19.0 से 4.22.1 से पहले तक। OAuth2 क्लाइंट टोकन कैश JVM के लिए वैश्विक है, और इसकी कुंजी उन कई फ़ील्ड को छोड़ देती थी जो यह निर्धारित करते हैं कि टोकन वास्तव में किस बात को अधिकृत करता है: अनुरोधित स्कोप, संसाधन संकेतक, और वह टोकन एंडपॉइंट जिससे टोकन प्राप्त किया गया था। इसलिए केवल उन फ़ील्ड में भिन्न दो एंडपॉइंट एक ही कैश प्रविष्टि साझा करते थे, और किसी एंडपॉइंट को भिन्न स्कोप, भिन्न संसाधन के लिए, या भिन्न प्राधिकरण सर्वर द्वारा जारी किया गया टोकन परोसा जा सकता था। इसका परिणाम यह है कि कोई अनुरोध उससे अधिक व्यापक अधिकार लेकर चलता है जितने के लिए एंडपॉइंट कॉन्फ़िगर किया गया था, या कोई टोकन ऐसे पक्ष को प्रस्तुत किया जाता है जिसके लिए वह जारी नहीं किया गया था। इस तक पहुँचने के लिए ऐसी डिप्लॉयमेंट आवश्यक है जो ठीक उन्हीं फ़ील्ड में भिन्न एक से अधिक OAuth2 एंडपॉइंट कॉन्फ़िगर करती हो, यही कारण है कि गंभीरता को निम्न आंका गया है। Apache Camel 4.23.0 में अपग्रेड करें, जो इस समस्या को ठीक करता है। 4.18.x LTS रिलीज़ स्ट्रीम पर उपयोगकर्ताओं को 4.18.5 में अपग्रेड करना चाहिए। 4.22.x LTS रिलीज़ स्ट्रीम पर उपयोगकर्ताओं को 4.22.1 में अपग्रेड करना चाहिए। कैश कुंजी में अब टोकन को आकार देने वाला प्रत्येक फ़ील्ड शामिल है, इसलिए प्रविष्टियाँ अब उन एंडपॉइंट के बीच साझा नहीं की जाती हैं जो उनमें से किसी में भी भिन्न हों। उन डिप्लॉयमेंट के लिए जो तुरंत अपग्रेड नहीं कर सकते, स्कोप, संसाधन संकेतक या टोकन एंडपॉइंट में भिन्न एंडपॉइंट को अलग-अलग JVM में चलाएँ ताकि वे कैश साझा न करें।

स्रोत

• CVE-2026-85317PoC

  CVE-2026-85317 को पुनरुत्पादित करने वाला एक रन करने योग्य Spring Boot प्रूफ-ऑफ-कॉन्सेप्ट, जिसमें camel-http का OAuth2 टोकन कैश scope, resource और token endpoint को अनदेखा करता है, साथ ही एक पैच किया गया कंट्रोल भी शामिल है।