CVE-2026-80312

Riepilogo

Vulnerabilità di autenticazione impropria nel componente OAuth di Apache Camel. Il problema riguarda Apache Camel: dalla 4.11.0 precedente alla 4.18.5, dalla 4.19.0 precedente alla 4.22.1. I processori camel-oauth che proteggono una route non interrompevano lo scambio quando l'autenticazione non poteva essere completata. Laddove un fallimento nello stabilire una sessione autenticata avrebbe dovuto terminare il routing e restituire un errore al chiamante, i processori non intervenivano e restituivano il controllo alla route, così la richiesta proseguiva verso l'endpoint protetto come se l'autenticazione fosse riuscita. L'effetto è una protezione di autenticazione fail-open: un chiamante non autenticato raggiungeva qualunque cosa facesse la route successivamente. La condizione si verifica sul normale percorso di richiesta di una route configurata per richiedere OAuth, e non necessita di configurazioni speciali né di accessi preventivi da parte del chiamante. Aggiornare ad Apache Camel 4.23.0, che risolve il problema. Gli utenti del flusso di release LTS 4.18.x dovrebbero aggiornare alla 4.18.5. Gli utenti del flusso di release LTS 4.22.x dovrebbero aggiornare alla 4.22.1. I processori ora interrompono lo scambio e impostano lo stato di errore appropriato ogni volta che non è possibile stabilire una sessione autenticata, così un'autenticazione fallita non raggiunge più la parte protetta della route. Per le distribuzioni che non possono aggiornare immediatamente, inserire un controllo di autorizzazione esplicito dopo il processore OAuth anziché affidarsi ad esso per interrompere lo scambio, e verificare che la route si arresti in caso di fallimento.

Fonti

• CVE-2026-80312PoC

  Proof-of-concept eseguibile per CVE-2026-80312, una guardia OAuth fail-open in Apache Camel camel-oauth, con riproduttori Spring Boot e Quarkus affetti e corretti.