CVE-2026-85317

Vulnerabilità nell'uso della cache contenente informazioni sensibili nel componente HTTP di Apache Camel.

Questo problema riguarda Apache Camel: dalla versione 4.0.0 prima della 4.18.5, dalla 4.19.0 prima della 4.22.1.

La cache dei token client OAuth2 è globale per la JVM e la sua chiave omette alcuni dei campi che determinano cosa autorizza effettivamente un token: lo scope richiesto, l'indicatore della risorsa e il token endpoint da cui il token è stato ottenuto. Due endpoint che differiscono solo in questi campi condividono quindi una voce di cache, e un endpoint potrebbe ricevere un token generato per uno scope diverso, una risorsa diversa o da un authorization server differente. La conseguenza è che una richiesta può portare un'autorizzazione più ampia di quella configurata per l'endpoint, o un token presentato a una parte per cui non è stato emesso. Per sfruttare questa vulnerabilità è necessario un deployment che configuri più di un endpoint OAuth2 differente esattamente in questi campi, motivo per cui la severità è valutata come bassa.

Aggiornare a Apache Camel 4.23.0, che risolve il problema. Gli utenti delle versioni LTS 4.18.x dovrebbero aggiornare alla 4.18.5. Gli utenti delle versioni LTS 4.22.x dovrebbero aggiornare alla 4.22.1. La chiave della cache ora include ogni campo che definisce il token, quindi le voci non sono più condivise tra endpoint che differiscono in uno di essi. Per deployment che non possono aggiornare immediatamente, si consiglia di eseguire endpoint che differiscono in scope, resource indicator o token endpoint in JVM separati, in modo che non condividano la cache.