Apache Camel camel-oauth: Authentifizierungsumgehung über Fail-Open-Prozessoren

Zusammenfassung

Die Komponente camel-oauth von Apache Camel, mit der Routen per OAuth-Authentifizierung geschützt werden, bricht die Verarbeitung nicht ab, wenn die Authentifizierung nicht abgeschlossen werden kann. Anfragen ohne erfolgreiche Authentifizierung gelangen dadurch in den geschützten Teil der Route, als wären sie erfolgreich authentifiziert worden. Ein entfernter, nicht authentifizierter Angreifer kann so ohne spezielle Konfiguration oder vorgängigen Zugriff auf geschützte Funktionen zugreifen. Apache stuft die Schwachstelle mit CVSS 8.2 (hoch) ein.

Betroffen

• Apache Camel 4.11.0 bis vor 4.18.5
• Apache Camel 4.19.0 bis vor 4.22.1
• Camel 4.14.x (End of Life, nicht korrigiert; auf 4.18.5 oder neuer wechseln)

Behoben in

• Apache Camel 4.18.5 (4.18.x LTS)
• Apache Camel 4.22.1 (4.22.x LTS)
• Apache Camel 4.23.0 (empfohlenes Ziel)

Umgehung

• Nach dem OAuth-Prozessor eine explizite Autorisierungsprüfung einbauen, statt sich darauf zu verlassen, dass der Prozessor die Verarbeitung stoppt.
• Prüfen, dass die Route bei fehlgeschlagener Authentifizierung stoppt, zum Beispiel mit Anfragen ohne oder mit ungültigen Zugangsdaten in einer Testumgebung.

Ausnutzung

• CISA SSVC: Ausnutzung keine, automatisierbar ja, technische Auswirkung teilweise.
• Zum Zeitpunkt der Recherche wurde keine Ausnutzung in freier Wildbahn bestätigt.
• Ein Schwachstellen-Aggregator listet einen öffentlichen Proof-of-Concept-Reproducer; dessen Inhalt wurde nicht verifiziert.

Unsere Empfehlung

• Java-Anwendungen und Middleware auf camel-oauth und Apache-Camel-Versionen prüfen.
• Auf Apache Camel 4.23.0 aktualisieren oder auf 4.18.5 bzw. 4.22.1, falls der aktuelle Branch beibehalten werden muss.
• Den Patch als dringend behandeln, wenn eine Route mit camel-oauth aus dem Internet erreichbar ist.
• Logs auf Anfragen prüfen, die ohne gültige Token geschützte Routen erreicht haben.
• Softwareanbieter fragen, ob ihre Produkte Camel und camel-oauth einbetten und in welcher Version.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

Links zu fremden Seiten, von uns nicht geprüft – Exploit-Code kann Schadsoftware enthalten. Nur in isolierten Testumgebungen verwenden.

• Proof of Concept auf GitHub (1 Repositories) iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).
  oscerd/CVE-2026-80312

Quellen der Recherche

• Apache Camel security advisory CVE-2026-80312 camel.apache.org
• Apache Camel 4.23.0 security advisories batch camel.apache.org
• Fix pull request 25567 (main) github.com
• Backport pull request 25575 (camel-4.22.x) github.com
• Backport pull request 25576 (camel-4.18.x) github.com
• Apache Jira CAMEL-24411 issues.apache.org

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 15:47.