CVE-2026-80312

Apache Camel OAuth bileşeninde Hatalı Kimlik Doğrulama zafiyeti bulunmaktadır. Bu sorun şu Apache Camel sürümlerini etkilemektedir: 4.11.0 ile 4.18.5 arası ve 4.19.0 ile 4.22.1 arası. Bir rotayı koruyan camel-oauth işlemcileri, kimlik doğrulama tamamlanamadığında değişimi (exchange) durdurmamaktaydı. Kimliği doğrulanmış bir oturum oluşturulamamasının yönlendirmeyi sonlandırması ve çağırana bir hata döndürmesi gereken durumlarda, işlemciler işlemi sürdürüyor ve kontrolü rotaya geri veriyordu; böylece istek, sanki kimlik doğrulama başarılı olmuş gibi korunan uç noktaya ulaşmaya devam ediyordu. Bunun etkisi, "fail-open" (açık konumda hata veren) bir kimlik doğrulama korumasıdır: kimliği doğrulanmamış bir çağırıcı, rotanın bir sonraki adımında ne varsa ona erişebiliyordu. Bu durum, OAuth gerektirecek şekilde yapılandırılmış bir rotanın olağan istek yolu üzerinde gerçekleşmekte olup, çağıran taraf için herhangi bir özel yapılandırma veya ön erişim gerektirmemektedir. Sorunu gideren Apache Camel 4.23.0 sürümüne yükseltin. 4.18.x LTS yayın akışındaki kullanıcılar 4.18.5 sürümüne, 4.22.x LTS yayın akışındaki kullanıcılar ise 4.22.1 sürümüne yükseltmelidir. İşlemciler artık kimliği doğrulanmış bir oturum oluşturulamadığı her durumda değişimi durdurmakta ve uygun hata durumunu ayarlamaktadır; böylece başarısız bir kimlik doğrulama artık rotanın korunan kısmına ulaşamamaktadır. Hemen yükseltme yapamayan dağıtımlar için, değişimi durdurmak adına yalnızca OAuth işlemcisine güvenmek yerine, OAuth işlemcisinden sonra açık bir yetkilendirme kontrolü ekleyin ve hatanın ardından rotanın durduğunu doğrulayın.