CVE-2026-94386

Nome do Software Vulnerável e Versões Afetadas Apache Camel versões 4.19.0 até 4.22.1

Description O componente OAuth apresenta um problema onde o OAuthClientCredentialsTokenResolver armazena tokens portadores OAuth 2.0 em um cache estático compartilhado por todas as instâncias do resolver e CamelContext na JVM. O cache é indexado apenas pelo endpoint do token e pelo ID do cliente, ignorando o segredo do cliente e o escopo solicitado. Consequentemente, se vários perfis compartilharem o mesmo endpoint de token e ID de cliente, mas utilizarem escopos ou segredos diferentes, eles podem receber um token destinado a outro perfil. Isso pode resultar em solicitações externas transportando tokens com autoridade maior do que a pretendida ou tokens destinados a um serviço diferente. Um serviço comprometido ou hostil que receba tal token poderá, potencialmente, reproduzi-lo dentro de seu escopo.

Recommendations Atualizar para a versão 4.23.0. Atualizar para a versão 4.22.2 para aqueles na linha de lançamento 4.22.x. Para as versões 4.19.0 até 4.21.x, migrar para um lançamento suportado, pois essas versões atingiram o fim da vida útil. Como mitigação temporária, desative o cache de tokens para perfis que compartilham um endpoint de token e ID de cliente definindo camel.oauth.NAME.cache-tokens=false para perfis nomeados ou camel.oauth.cache-tokens=false para o perfil padrão. Alternativamente, registre um cliente separado no provedor de identidade para cada perfil que necessite de um escopo ou segredo de cliente diferente, para que nenhum dois perfis compartilhem um ID de cliente.