CVE-2026-85317

Resumo

Vulnerabilidade de uso de cache contendo informações sensíveis no componente HTTP do Apache Camel. Este problema afeta o Apache Camel: de 4.0.0 antes de 4.18.5, de 4.19.0 antes de 4.22.1. O cache de tokens do cliente OAuth2 é global para a JVM, e sua chave omitia vários dos campos que determinam o que um token realmente autoriza: o escopo solicitado, o indicador de recurso e o endpoint de token a partir do qual o token foi obtido. Dois endpoints que diferem apenas nesses campos, portanto, compartilhavam uma entrada de cache, e um endpoint poderia receber um token emitido para um escopo diferente, um recurso diferente ou por um servidor de autorização diferente. A consequência é uma requisição carregando autoridade mais ampla do que a configurada para o endpoint, ou um token apresentado a uma parte para a qual não foi emitido. Alcançar isso exige uma implantação que configure mais de um endpoint OAuth2 diferindo exatamente nesses campos, razão pela qual a severidade é avaliada como baixa. Atualize para o Apache Camel 4.23.0, que corrige o problema. Usuários no fluxo de versões LTS 4.18.x devem atualizar para 4.18.5. Usuários no fluxo de versões LTS 4.22.x devem atualizar para 4.22.1. A chave de cache agora inclui todos os campos que moldam o token, de modo que as entradas não são mais compartilhadas entre endpoints que diferem em qualquer um deles. Para implantações que não podem atualizar imediatamente, execute endpoints que diferem em escopo, indicador de recurso ou endpoint de token em JVMs separadas, para que não compartilhem o cache.

Fontes

• CVE-2026-85317PoC

  Prova de conceito executável em Spring Boot que reproduz a CVE-2026-85317, na qual o cache de tokens OAuth2 do camel-http ignora o escopo, o recurso e o endpoint de token, além de um controle corrigido.