CVE-2026-80312

Резюме

Уязвимость неправильной аутентификации в компоненте OAuth Apache Camel. Проблема затрагивает Apache Camel: с 4.11.0 до 4.18.5, с 4.19.0 до 4.22.1. Процессоры camel-oauth, защищающие маршрут, не останавливали обмен, когда аутентификация не могла быть завершена. Там, где неудача в установлении аутентифицированной сессии должна была прекратить маршрутизацию и вернуть ошибку вызывающей стороне, процессоры пропускали это и возвращали управление маршруту, поэтому запрос продолжал выполняться к защищённой конечной точке, как будто аутентификация прошла успешно. Результат — защита аутентификации с отказом в открытом состоянии (fail-open): неаутентифицированный вызывающий субъект достигал того, что маршрут выполнял далее. Условие достигается на обычном пути запроса маршрута, настроенного на требование OAuth, и не требует специальной конфигурации или предварительного доступа со стороны вызывающего субъекта. Обновитесь до Apache Camel 4.23.0, где эта проблема исправлена. Пользователям ветки LTS-релизов 4.18.x следует обновиться до 4.18.5. Пользователям ветки LTS-релизов 4.22.x следует обновиться до 4.22.1. Теперь процессоры останавливают обмен и устанавливают соответствующий статус ошибки всякий раз, когда аутентифицированная сессия не может быть установлена, поэтому неудачная аутентификация больше не достигает защищённой части маршрута. Для развёртываний, которые не могут обновиться немедленно, разместите явную проверку авторизации после процессора OAuth, вместо того чтобы полагаться на него в остановке обмена, и убедитесь, что маршрут останавливается при сбое.

Источники

• CVE-2026-80312PoC

  Рабочий proof-of-concept для CVE-2026-80312 — fail-open защиты OAuth в Apache Camel camel-oauth, с репродьюсерами на Spring Boot и Quarkus для уязвимой и исправленной версий.