CVE-2026-80312

요약

Apache Camel OAuth 구성 요소의 부적절한 인증 취약점입니다. 이 문제는 Apache Camel 4.11.0부터 4.18.5 이전, 4.19.0부터 4.22.1 이전 버전에 영향을 미칩니다. 경로를 보호하던 camel-oauth 프로세서는 인증을 완료할 수 없을 때 교환을 중단하지 않았습니다. 인증된 세션 설정에 실패하면 라우팅을 종료하고 호출자에게 오류를 반환해야 했지만, 프로세서는 그대로 통과하여 제어권을 경로로 되돌렸고, 그 결과 요청은 인증이 성공한 것처럼 보호된 엔드포인트로 계속 진행되었습니다. 그 영향은 fail-open 인증 가드입니다. 즉, 인증되지 않은 호출자가 경로의 다음 동작에 도달했습니다. 이 조건은 OAuth를 요구하도록 구성된 경로의 일반적인 요청 경로에서 발생하며, 특별한 구성이나 호출자의 사전 접근 권한이 필요하지 않습니다. 이 문제를 수정한 Apache Camel 4.23.0으로 업그레이드하십시오. 4.18.x LTS 릴리스 스트림 사용자는 4.18.5로 업그레이드해야 합니다. 4.22.x LTS 릴리스 스트림 사용자는 4.22.1로 업그레이드해야 합니다. 이제 프로세서는 인증된 세션을 설정할 수 없을 때마다 교환을 중단하고 적절한 오류 상태를 설정하므로, 인증 실패가 더 이상 경로의 보호된 부분에 도달하지 않습니다. 즉시 업그레이드할 수 없는 배포의 경우, OAuth 프로세서가 교환을 중단할 것이라고 의존하지 말고 OAuth 프로세서 뒤에 명시적인 권한 부여 검사를 배치하고, 실패 시 경로가 중단되는지 확인하십시오.

소스

• CVE-2026-80312PoC

  CVE-2026-80312에 대한 실행 가능한 개념 증명으로, Apache Camel camel-oauth의 fail-open OAuth 가드 문제를 다루며, 영향을 받는 버전과 수정된 버전의 Spring Boot 및 Quarkus 재현 예제를 포함합니다.