CVE-2026-84178

概要

Apache Camel OAuthコンポーネントにおけるクロスサイトリクエストフォージェリ（CSRF）脆弱性。この問題はApache Camelの4.11.0から4.18.5より前、および4.19.0から4.22.1より前に影響します。認可コードのコールバックは、フローを開始した認可リクエストに紐付けるstateパラメータを保持しておらず、コールバックもそれを検証していませんでした。そのため、任意のブラウザで取得した認可コードをコールバックで引き換えることができ、それを提示したセッションに紐付けられていました。これはログインCSRFであり、被害者は攻撃者が制御するIDとして知らないうちにサインインさせられ、その結果被害者が実行する操作や送信するデータが攻撃者のアカウントに届くことになります。同じ未検証のコールバック処理により、認証後のリダイレクト先も影響を受ける可能性があり、信頼されたオリジンからのオープンリダイレクトが発生していました。stateのチェックは認可コードの引き換え前に実行されるため、これらの経路はIDプロバイダとのやり取りなしに到達可能です。この問題を修正したApache Camel 4.23.0にアップグレードしてください。4.18.x LTSリリースストリームのユーザーは4.18.5にアップグレードする必要があります。4.22.x LTSリリースストリームのユーザーは4.22.1にアップグレードする必要があります。認可リクエストはセッションに紐付けられたstate値を発行するようになり、コールバックはstateが存在しない、または一致しないリクエストを拒否し、400レスポンスでルートを停止します。直ちにアップグレードできないデプロイメントでは、Camelのコールバックに依存するのではなく、独自のstateバインディングを実行するコンポーネントで認可コードフローを終了してください。アップグレード後、コールバックのクエリ文字列を破棄または書き換えるプロキシの背後にあるデプロイメントでは、stateパラメータが往復を経て保持される必要があるため、400レスポンスが発生し始めることに注意してください。

ソース

• CVE-2026-84178PoC

  CVE-2026-84178 の実行可能な概念実証（PoC）再現ツールです。これは Apache Camel の camel-oauth における認可コードコールバックのログイン CSRF であり、state を検証せずにコードを引き換えます。