CVE-2026-80312

总结

Apache Camel OAuth 组件中的身份验证不当漏洞。此问题影响 Apache Camel：从 4.11.0 到 4.18.5 之前，从 4.19.0 到 4.22.1 之前。用于保护路由的 camel-oauth 处理器在无法完成身份验证时未能停止交换。在建立已认证会话失败本应终止路由并向调用方返回错误的情况下，这些处理器却直接放行并将控制权交还给路由，因此请求继续到达受保护端点，就好像身份验证已成功一样。其效果是形成一种故障开放（fail-open）的身份验证防护：未认证的调用方能够到达路由后续执行的任何操作。该情况会在配置为要求 OAuth 的路由的普通请求路径上触发，无需特殊配置，也无需调用方事先获得任何访问权限。请升级到 Apache Camel 4.23.0，该版本修复了此问题。使用 4.18.x LTS 发布流版本的用户应升级到 4.18.5。使用 4.22.x LTS 发布流版本的用户应升级到 4.22.1。现在，只要无法建立已认证会话，这些处理器就会停止交换并设置相应的错误状态，因此身份验证失败不再会到达路由的受保护部分。对于无法立即升级的部署，请在 OAuth 处理器之后放置显式的授权检查，而不是依赖它来中止交换，并验证路由在失败时会停止。

来源

• CVE-2026-80312PoC

  针对 CVE-2026-80312 的可运行概念验证，该漏洞是 Apache Camel camel-oauth 中一个失效开放的 OAuth 防护机制，并包含受影响版本与修复版本的 Spring Boot 和 Quarkus 复现程序。