CVE-2026-80312

概要

Apache Camel OAuthコンポーネントにおける不適切な認証の脆弱性。この問題はApache Camelに影響します: 4.11.0から4.18.5より前、4.19.0から4.22.1より前。ルートを保護するcamel-oauthプロセッサは、認証を完了できなかった場合にexchangeを停止しませんでした。認証済みセッションの確立失敗によってルーティングを終了し、呼び出し元にエラーを返すべき状況で、プロセッサは処理を通過してルートに制御を戻したため、リクエストは認証が成功したかのように保護されたエンドポイントへ続行されました。その影響はフェイルオープンな認証ガードであり、未認証の呼び出し元がルートの後続処理に到達できました。この状態はOAuthを要求するよう設定されたルートの通常のリクエスト経路で発生し、特別な設定や呼び出し元側の事前アクセスを必要としません。この問題を修正したApache Camel 4.23.0へアップグレードしてください。4.18.x LTSリリースストリームのユーザーは4.18.5へアップグレードする必要があります。4.22.x LTSリリースストリームのユーザーは4.22.1へアップグレードする必要があります。プロセッサは認証済みセッションを確立できない場合にexchangeを停止し、適切なエラーステータスを設定するようになったため、認証失敗がルートの保護された部分に到達することはなくなりました。直ちにアップグレードできないデプロイメントでは、exchangeを停止させることをOAuthプロセッサに依存するのではなく、OAuthプロセッサの後に明示的な認可チェックを配置し、失敗時にルートが停止することを検証してください。

ソース

• CVE-2026-80312PoC

  CVE-2026-80312の実行可能な概念実証。Apache Camel camel-oauthにおけるフェイルオープンなOAuthガードで、影響を受けるバージョンと修正済みバージョンのSpring BootおよびQuarkusの再現環境を含む。