CVE-2026-84178

Apache Camel OAuth bileşeninde Siteler Arası İstek Sahteciliği (CSRF) zafiyeti bulunmaktadır. Bu sorun şu Apache Camel sürümlerini etkilemektedir: 4.11.0 ile 4.18.5 arası ve 4.19.0 ile 4.22.1 arası. Yetkilendirme kodu geri çağrımı (callback), akışı başlatan yetkilendirme isteğine bağlayan bir state parametresi taşımıyor ve geri çağırım herhangi bir doğrulama yapmıyordu. Bu nedenle, herhangi bir tarayıcıda elde edilen bir yetkilendirme kodu, geri çağırımda kullanılabilir ve bunu sunan herhangi bir oturumla ilişkilendirilebilirdi; bu durum girişle ilgili bir siteler arası istek sahteciliğidir: Bir kurban, saldırganın kontrol ettiği bir kimlikle sessizce oturum açabilir, böylece kurbanın gerçekleştirdiği işlemler ve gönderdiği veriler saldırganın hesabına düşer. Aynı doğrulanmamış geri çağırım işleme süreci, kimlik doğrulama sonrası yönlendirme hedefinin etkilenmesine de izin vererek güvenilir bir kaynaktan açık yönlendirmeye (open redirect) imkan tanımaktaydı. State kontrolü, yetkilendirme kodu kullanılmadan önce çalıştığından, bu yollara kimlik sağlayıcıyla herhangi bir etkileşim olmadan erişilebilmektedir. Sorunu gideren Apache Camel 4.23.0 sürümüne yükseltin. 4.18.x LTS yayın akışındaki kullanıcılar 4.18.5 sürümüne, 4.22.x LTS yayın akışındaki kullanıcılar ise 4.22.1 sürümüne yükseltmelidir. Yetkilendirme isteği artık oturuma bağlı bir state değeri oluşturmakta ve geri çağırım, state değerinin eksik olduğu veya eşleşmediği istekleri reddederek rotayı 400 yanıtı ile durdurmaktadır. Hemen yükseltme yapamayan dağıtımlar için, yetkilendirme kodu akışını Camel geri çağırımına güvenmek yerine kendi state bağlamasını gerçekleştiren bir bileşende sonlandırın. Yükseltme işleminden sonra, geri çağırım sorgu dizesini düşüren veya yeniden yazan bir proxy arkasındaki dağıtımların 400 yanıtları almaya başlayacağını unutmayın, çünkü state parametresinin gidiş-dönüş sürecinde korunması gerekir.