CVE-2026-85317

总结

Apache Camel HTTP 组件中存在使用包含敏感信息的缓存漏洞。此问题影响 Apache Camel：从 4.0.0 到 4.18.5 之前，从 4.19.0 到 4.22.1 之前。OAuth2 客户端令牌缓存是 JVM 全局的，其键省略了若干决定令牌实际授权范围的字段：请求的作用域、资源指示符，以及获取令牌的令牌端点。因此，仅在这些字段上不同的两个端点会共享同一个缓存条目，某个端点可能会被提供一个为不同作用域、不同资源或由不同授权服务器签发的令牌。其后果是请求携带的权限超出了端点配置的范围，或者令牌被呈现给了并非其签发对象的第三方。要触发此问题，需要部署配置了多个仅在上述字段上不同的 OAuth2 端点，因此严重性被评估为低。升级到 Apache Camel 4.23.0 即可修复该问题。使用 4.18.x LTS 发布流的用户应升级到 4.18.5。使用 4.22.x LTS 发布流的用户应升级到 4.22.1。缓存键现在包含决定令牌的每一个字段，因此条目不再在任一字段上不同的端点之间共享。对于无法立即升级的部署，请在单独的 JVM 中运行在作用域、资源指示符或令牌端点上不同的端点，以便它们不共享缓存。

来源

• CVE-2026-85317PoC

  可运行的 Spring Boot 概念验证，复现 CVE-2026-85317，其中 camel-http 的 OAuth2 令牌缓存忽略了 scope、resource 和令牌端点，并附带一个已修补的对照版本。