CVE-2026-80312

Luka w zabezpieczeniach nieprawidłowego uwierzytelniania w komponencie Apache Camel OAuth.



Ten problem dotyczy Apache Camel: od 4.11.0 przed 4.18.5, od 4.19.0 przed 4.22.1.



Procesory Camel-Oauth strzegące trasy nie zatrzymywały wymiany, gdy nie można było ukończyć uwierzytelniania. Tam, gdzie niepowodzenie w ustanowieniu uwierzytelnionej sesji powinno zakończyć routing i zwrócić błąd osobie wywołującej, procesory przepadły i zwróciły kontrolę nad trasą, więc żądanie było kontynuowane do chronionego punktu końcowego, tak jakby uwierzytelnienie się powiodło. Efektem jest zabezpieczenie uwierzytelniania przed awarią: nieuwierzytelniony obiekt wywołujący osiągnął cokolwiek, co dalej robiła trasa. Warunek zostaje osiągnięty na zwykłej ścieżce żądania trasy skonfigurowanej tak, aby wymagała protokołu OAuth i nie wymaga specjalnej konfiguracji ani wcześniejszego dostępu ze strony osoby wywołującej.



Uaktualnij do Apache Camel 4.23.0, co rozwiąże problem. Użytkownicy strumienia wydań 4.18.x LTS powinni dokonać aktualizacji do wersji 4.18.5. Użytkownicy strumienia wydań 4.22.x LTS powinni dokonać aktualizacji do wersji 4.22.1. Procesory zatrzymują teraz wymianę i ustawiają odpowiedni status błędu, gdy nie można ustanowić uwierzytelnionej sesji, więc nieudane uwierzytelnienie nie dociera już do chronionej części trasy. W przypadku wdrożeń, których nie można uaktualnić natychmiast, należy umieścić jawną kontrolę autoryzacji po procesorze OAuth, zamiast polegać na nim w celu zatrzymania wymiany, i sprawdzić, czy trasa zatrzymuje się w przypadku niepowodzenia.