CVE-2026-84178

요약

Apache Camel OAuth 컴포넌트의 CSRF(Cross-Site Request Forgery) 취약점입니다. 이 문제는 Apache Camel 4.11.0 이상 4.18.5 미만, 4.19.0 이상 4.22.1 미만 버전에 영향을 미칩니다. 인증 코드 콜백이 흐름을 시작한 인증 요청에 이를 바인딩하는 state 파라미터를 전달하지 않았고, 콜백에서도 이를 검증하지 않았습니다. 따라서 어떤 브라우저에서든 획득한 인증 코드를 콜백에서 교환하여 이를 제시한 세션에 연결할 수 있었으며, 이는 로그인 CSRF입니다. 즉, 피해자가 공격자가 제어하는 신원으로 조용히 로그인되어, 이후 피해자가 수행하는 작업과 제출하는 데이터가 공격자의 계정에 귀속됩니다. 동일한 미검증 콜백 처리로 인해 인증 후 리디렉션 대상도 영향을 받을 수 있어, 신뢰할 수 있는 출처에서 오픈 리디렉션이 발생했습니다. state 검사는 인증 코드가 교환되기 전에 실행되므로, 이러한 경로는 ID 공급자와의 상호작용 없이도 도달할 수 있습니다. 이 문제를 수정한 Apache Camel 4.23.0으로 업그레이드하십시오. 4.18.x LTS 릴리스 스트림 사용자는 4.18.5로 업그레이드해야 합니다. 4.22.x LTS 릴리스 스트림 사용자는 4.22.1로 업그레이드해야 합니다. 이제 인증 요청이 세션에 바인딩된 state 값을 발급하며, 콜백은 state가 없거나 일치하지 않는 요청을 거부하여 400 응답과 함께 라우트를 중단합니다. 즉시 업그레이드할 수 없는 배포 환경에서는 Camel 콜백에 의존하지 말고 자체적으로 state 바인딩을 수행하는 컴포넌트에서 인증 코드 흐름을 종료하십시오. 업그레이드 후에는 콜백 쿼리 문자열을 삭제하거나 재작성하는 프록시 뒤에 있는 배포 환경에서 400 응답이 발생하기 시작할 수 있습니다. state 파라미터가 왕복 과정에서 유지되어야 하기 때문입니다.

소스

• CVE-2026-84178PoC

  CVE-2026-84178에 대한 실행 가능한 개념 증명(PoC) 재현기로, Apache Camel camel-oauth의 인증 코드 콜백에서 state를 검증하지 않고 코드를 교환하는 로그인 CSRF 취약점입니다.