CVE-2026-85251

Esposizione di informazioni sensibili a un attore non autorizzato vulnerabilità nel componente HTTP di Apache Camel.

Questo problema riguarda Apache Camel: dalla versione 4.0.0 prima della 4.18.5, dalla 4.19.0 prima della 4.22.1.

Due percorsi trasmettevano le credenziali a un target di redirect, che è un host scelto dal server remoto anziché dalla route, una volta impostato followRedirects=true. OAuth2ClientConfigurer registra il suo interceptor con addRequestInterceptorFirst, e HttpClient esegue gli interceptors di richiesta a livello di protocollo all’interno di ProtocolExec, che si trova sotto RedirectExec nella catena di esecuzione; l’interceptor quindi veniva eseguito di nuovo per ogni hop di redirect e riattaccava Authorization: Bearer a qualunque host indicato dall’intestazione Location. Separatamente, le credenziali venivano registrate contro un AuthScope che corrispondeva a qualsiasi host, quindi le credenziali di base e digest venivano presentate anche a un target di redirect. Un endpoint remoto — o chiunque possa influenzare le sue risposte — potrebbe quindi raccogliere il token Bearer o le credenziali configurate semplicemente rispondendo con un redirect a un host di sua gestione.

Aggiornare a Apache Camel 4.23.0, che risolve il problema. Gli utenti delle versioni LTS 4.18.x dovrebbero aggiornare a 4.18.5. Gli utenti delle versioni LTS 4.22.x dovrebbero aggiornare a 4.22.1. Le credenziali vengono ora inviate solo all’autorità con cui l’endpoint è stato configurato e non vengono più riattaccate quando un redirect attraversa un altro host. Per le implementazioni che non possono aggiornare immediatamente, impostare followRedirects=false sugli endpoint che trasportano credenziali e gestire esplicitamente eventuali redirect nella route, in modo che la destinazione venga scelta dalla route stessa piuttosto che dal server remoto.