CVE-2026-84178

Riepilogo

Vulnerabilità Cross-Site Request Forgery (CSRF) nel componente OAuth di Apache Camel. Il problema riguarda Apache Camel: dalla versione 4.11.0 precedente alla 4.18.5, dalla 4.19.0 precedente alla 4.22.1. Il callback del codice di autorizzazione non trasportava un parametro state che lo collegasse alla richiesta di autorizzazione che aveva avviato il flusso, e il callback non ne verificava la presenza. Un codice di autorizzazione ottenuto in qualsiasi browser poteva quindi essere riscattato al callback e associato alla sessione che lo presentava, il che costituisce un cross-site request forgery di login: una vittima può essere autenticata silenziosamente con un'identità controllata dall'attaccante, cosicché le azioni che la vittima compie successivamente, e i dati che invia, finiscono nell'account dell'attaccante. La stessa gestione non validata del callback consentiva inoltre di influenzare la destinazione del redirect post-autenticazione, determinando un open redirect da un'origine attendibile. Il controllo dello state viene eseguito prima del riscatto del codice di autorizzazione, pertanto questi percorsi sono raggiungibili senza alcuna interazione con l'identity provider. Aggiornare ad Apache Camel 4.23.0, che corregge il problema. Gli utenti del ramo di rilascio LTS 4.18.x dovrebbero aggiornare alla 4.18.5. Gli utenti del ramo di rilascio LTS 4.22.x dovrebbero aggiornare alla 4.22.1. La richiesta di autorizzazione ora emette un valore state vincolato alla sessione, e il callback rifiuta una richiesta il cui state sia assente o non corrisponda, interrompendo la route con una risposta 400. Per le distribuzioni che non possono aggiornare immediatamente, terminare il flusso del codice di autorizzazione in un componente che esegue il proprio binding dello state anziché affidarsi al callback di Camel. Si noti che, dopo l'aggiornamento, una distribuzione dietro un proxy che elimina o riscrive la query string del callback inizierà a ricevere risposte 400, poiché il parametro state deve sopravvivere al round trip.

Fonti

• CVE-2026-84178PoC