CVE-2026-80312

Resumo

Vulnerabilidade de Autenticação Imprópria no componente OAuth do Apache Camel. Este problema afeta o Apache Camel: de 4.11.0 até antes de 4.18.5, de 4.19.0 até antes de 4.22.1. Os processadores camel-oauth que protegem uma rota não interrompiam o exchange quando a autenticação não podia ser concluída. Onde uma falha em estabelecer uma sessão autenticada deveria ter terminado o roteamento e retornado um erro ao chamador, os processadores deixavam passar e devolviam o controle à rota, de modo que a requisição continuava até o endpoint protegido como se a autenticação tivesse sido bem-sucedida. O efeito é uma proteção de autenticação fail-open: um chamador não autenticado alcançava o que quer que a rota fizesse em seguida. A condição é atingida no caminho normal de requisição de uma rota configurada para exigir OAuth, e não requer configuração especial nem acesso prévio por parte do chamador. Atualize para o Apache Camel 4.23.0, que corrige o problema. Usuários do fluxo de versões LTS 4.18.x devem atualizar para 4.18.5. Usuários do fluxo de versões LTS 4.22.x devem atualizar para 4.22.1. Os processadores agora interrompem o exchange e definem o status de erro apropriado sempre que uma sessão autenticada não puder ser estabelecida, de modo que uma autenticação falha não alcança mais a parte protegida da rota. Para implantações que não podem atualizar imediatamente, coloque uma verificação de autorização explícita após o processador OAuth em vez de confiar nele para interromper o exchange, e verifique se a rota para em caso de falha.

Fontes

• CVE-2026-80312PoC

  Prova de conceito executável para CVE-2026-80312, uma falha de segurança do tipo fail-open no guarda OAuth do Apache Camel camel-oauth, com reprodutores Spring Boot e Quarkus afetados e corrigidos.