CVE-2026-84178

Resumo

Vulnerabilidade de Cross-Site Request Forgery (CSRF) no componente OAuth do Apache Camel. Este problema afeta o Apache Camel: de 4.11.0 até antes de 4.18.5, de 4.19.0 até antes de 4.22.1. O callback do código de autorização não carregava um parâmetro state que o vinculasse à solicitação de autorização que iniciou o fluxo, e o callback não verificava nenhum. Um código de autorização obtido em qualquer navegador podia, portanto, ser resgatado no callback e associado à sessão que o apresentasse, o que constitui cross-site request forgery de login: uma vítima pode ser silenciosamente autenticada como uma identidade controlada pelo atacante, de modo que as ações que a vítima então realiza, e os dados que ela então envia, acabam na conta do atacante. O mesmo tratamento de callback não validado também permitia que o destino de redirecionamento pós-autenticação fosse influenciado, gerando um open redirect a partir de uma origem confiável. A verificação de state é executada antes do resgate do código de autorização, portanto esses caminhos são alcançáveis sem qualquer interação com o provedor de identidade. Atualize para o Apache Camel 4.23.0, que corrige o problema. Usuários do fluxo de versões LTS 4.18.x devem atualizar para 4.18.5. Usuários do fluxo de versões LTS 4.22.x devem atualizar para 4.22.1. A solicitação de autorização agora emite um valor de state vinculado à sessão, e o callback rejeita uma solicitação cujo state esteja ausente ou não corresponda, interrompendo a rota com uma resposta 400. Para implantações que não podem atualizar imediatamente, encerre o fluxo do código de autorização em um componente que realize sua própria vinculação de state em vez de depender do callback do Camel. Observe que, após a atualização, uma implantação atrás de um proxy que descarta ou reescreve a query string do callback começará a receber respostas 400, porque o parâmetro state precisa sobreviver ao ciclo completo.

Fontes

• CVE-2026-84178PoC

  Prova de conceito executável que reproduz a CVE-2026-84178, um CSRF de login no callback do fluxo de código de autorização do camel-oauth do Apache Camel, que resgata códigos sem verificar o state.