CVE-2026-85317

Wykorzystanie luki w zabezpieczeniach pamięci podręcznej zawierającej poufne informacje w komponencie HTTP Apache Camel.

Ten problem dotyczy Apache Camel: od 4.0.0 przed 4.18.5, od 4.19.0 przed 4.22.1.

Pamięć podręczna tokenów klienta OAuth2 jest globalna dla maszyny JVM, a w jej kluczu pominięto kilka pól określających, co faktycznie autoryzuje token: żądany zakres, wskaźnik zasobu i punkt końcowy tokenu, z którego uzyskano token. Dlatego dwa punkty końcowe różniące się tylko tymi polami współdzielą wpis w pamięci podręcznej, a punkt końcowy może otrzymać token wydany dla innego zakresu, innego zasobu lub przez inny serwer autoryzacyjny. Konsekwencją tego jest żądanie o szerszych uprawnieniach, niż skonfigurowano dla punktu końcowego, lub token przedstawiony stronie, dla której nie został wydany. Osiągnięcie tego wymaga wdrożenia, które konfiguruje więcej niż jeden punkt końcowy OAuth2 różniący się dokładnie tymi polami, dlatego ważność jest oceniana jako niska.

Uaktualnij do Apache Camel 4.23.0, co rozwiąże problem. Użytkownicy strumienia wydań 4.18.x LTS powinni dokonać aktualizacji do wersji 4.18.5. Użytkownicy strumienia wydań 4.22.x LTS powinni dokonać aktualizacji do wersji 4.22.1. Klucz pamięci podręcznej zawiera teraz każde pole kształtujące token, więc wpisy nie są już współdzielone między punktami końcowymi, które różnią się którymkolwiek z nich. W przypadku wdrożeń, których nie można uaktualnić natychmiast, uruchom punkty końcowe różniące się zakresem, wskaźnikiem zasobów lub punktem końcowym tokenu w oddzielnych maszynach JVM, aby nie współużytkowały pamięci podręcznej.