CVE-2026-85317

概要

Apache Camel HTTPコンポーネントにおける機密情報を含むキャッシュの使用に関する脆弱性。この問題はApache Camelに影響します: 4.0.0から4.18.5より前、4.19.0から4.22.1より前。OAuth2クライアントトークンキャッシュはJVMに対してグローバルであり、そのキーはトークンが実際に何を認可するかを決定するいくつかのフィールド、すなわち要求されたスコープ、リソースインジケーター、およびトークンの取得元となったトークンエンドポイントを省略していました。したがって、これらのフィールドのみが異なる2つのエンドポイントはキャッシュエントリを共有し、あるエンドポイントに対して、異なるスコープ、異なるリソース、または異なる認可サーバーによって発行されたトークンが提供される可能性がありました。その結果、エンドポイントが設定された権限よりも広い権限を持つリクエストが行われるか、発行先ではない相手にトークンが提示されることになります。この問題に到達するには、まさにこれらのフィールドが異なる複数のOAuth2エンドポイントを設定するデプロイメントが必要であるため、深刻度は低と評価されています。この問題を修正したApache Camel 4.23.0にアップグレードしてください。4.18.x LTSリリースストリームのユーザーは4.18.5にアップグレードしてください。4.22.x LTSリリースストリームのユーザーは4.22.1にアップグレードしてください。キャッシュキーにはトークンを形成するすべてのフィールドが含まれるようになったため、これらのいずれかが異なるエンドポイント間でエントリが共有されることはなくなりました。すぐにアップグレードできないデプロイメントでは、スコープ、リソースインジケーター、またはトークンエンドポイントが異なるエンドポイントを別々のJVMで実行し、キャッシュを共有しないようにしてください。

ソース

• CVE-2026-85317PoC

  CVE-2026-85317を再現する実行可能なSpring Bootの概念実証。camel-httpのOAuth2トークンキャッシュがscope、resource、トークンエンドポイントを無視する問題に加え、修正済みのコントロールを収録。