Apache Camel K: обход авторизации через mavenProfiles в Builder trait — CVE-2026-80354
В Apache Camel K обнаружена уязвимость обхода авторизации (CWE-639), позволяющая тенанту ссылаться на секреты по имени в пространстве имён оператора. Это может привести к раскрытию секретов других тенантов и компонентов оператора. Уязвимость затрагивает версии 2.0.0–2.9.2 и 2.10.1.
Подробности
Уязвимость классифицируется как «Authorization bypass through User-Controlled key» (CWE-639). В Apache Camel K механизм разрешения кастомных ресурсов позволяет тенанту ссылаться на секреты по имени в пространстве имён оператора. Это создаёт риск раскрытия секретов, принадлежащих другим тенантам или компонентам самого оператора. Затрагиваемые версии Apache Camel K: — от 2.0.0 до версии ниже 2.9.3; — от 2.10.1 до версии ниже 2.10.2. Проблема связана с Builder trait и обработкой mavenProfiles через ValueSources: пользовательский ввод влияет на то, какие секреты разрешаются, что позволяет выйти за пределы ожидаемой области видимости. Значение CVSS в записи CVE не указано, однако характер уязвимости (обход авторизации с потенциальным раскрытием секретов) требует приоритетного внимания в мультитенантных средах.Что делать
Рекомендуется обновить Apache Camel K до одной из исправленных версий: — 2.9.3; — 2.10.2; — 2.11.0. После обновления проверьте, что оператор и рабочие нагрузки используют актуальные образы и что в кластере не осталось ресурсов, созданных ранее с использованием уязвимых конфигураций mavenProfiles. В качестве дополнительной митигации до обновления можно ограничить права тенантов на создание и изменение кастомных ресурсов Camel K, а также провести аудит секретов в пространстве имён оператора на предмет несанкционированного доступа. Если есть признаки компрометации, смените затронутые секреты. Итог: CVE-2026-80354 — серьёзная уязвимость обхода авторизации в Apache Camel K, особенно опасная в мультитенантных развёртываниях. Единственное надёжное решение — обновление до версий 2.9.3, 2.10.2 или 2.11.0.Источник: CVE Project (cvelistV5)