CVE-2026-85317

요약

Apache Camel HTTP 구성 요소의 민감한 정보가 포함된 캐시 사용 취약점입니다. 이 문제는 Apache Camel 4.0.0부터 4.18.5 이전, 4.19.0부터 4.22.1 이전 버전에 영향을 미칩니다. OAuth2 클라이언트 토큰 캐시는 JVM 전역이며, 그 키가 토큰이 실제로 어떤 권한을 부여하는지를 결정하는 여러 필드, 즉 요청된 scope, 리소스 지시자(resource indicator), 그리고 토큰을 획득한 토큰 엔드포인트를 누락하고 있었습니다. 따라서 해당 필드만 다른 두 엔드포인트가 캐시 항목을 공유하게 되어, 한 엔드포인트가 다른 scope, 다른 리소스에 대해, 또는 다른 인가 서버에서 발급된 토큰을 제공받을 수 있었습니다. 그 결과 엔드포인트가 구성된 것보다 더 넓은 권한을 지닌 요청이 발생하거나, 발급 대상이 아닌 상대에게 토큰이 제시될 수 있습니다. 이 취약점에 도달하려면 정확히 해당 필드들만 다른 둘 이상의 OAuth2 엔드포인트를 구성한 배포 환경이 필요하므로 심각도가 낮게 평가되었습니다. 이 문제를 수정한 Apache Camel 4.23.0으로 업그레이드하십시오. 4.18.x LTS 릴리스 스트림 사용자는 4.18.5로 업그레이드해야 합니다. 4.22.x LTS 릴리스 스트림 사용자는 4.22.1로 업그레이드해야 합니다. 이제 캐시 키에 토큰을 형성하는 모든 필드가 포함되므로, 해당 필드 중 하나라도 다른 엔드포인트 간에 항목이 더 이상 공유되지 않습니다. 즉시 업그레이드할 수 없는 배포 환경의 경우, scope, 리소스 지시자 또는 토큰 엔드포인트가 다른 엔드포인트를 별도의 JVM에서 실행하여 캐시를 공유하지 않도록 하십시오.

소스

• CVE-2026-85317PoC

  camel-http의 OAuth2 토큰 캐시가 scope, resource 및 토큰 엔드포인트를 무시하는 CVE-2026-85317을 재현하는 실행 가능한 Spring Boot 개념 증명(proof-of-concept)과 패치된 대조 버전입니다.