CVE-2026-85301

ملخص

ثغرة المصادقة غير السليمة في مكوّن Apache Camel Keycloak. تؤثر هذه المشكلة على Apache Camel: من 4.15.0 قبل 4.18.5، ومن 4.19.0 قبل 4.22.1. كان معالج الأمان يتحقق من جهة إصدار الرمز المفحوص (introspected token) فقط عندما كانت استجابة الفحص (introspection response) تحمل فعليًا ادعاء iss. وعند غياب هذا الادعاء كان يتم تخطي التحقق بدلًا من اعتباره فشلًا، لذا كان يمكن قبول رمز لم تصدره جهة الإصدار المُهيأة بشرط أن تستجيب نقطة نهاية الفحص دون تسمية جهة إصدار. ويتطلب الوصول إلى ذلك وجود نقطة نهاية فحص تُغفل iss وتقبل رموزًا من أكثر من جهة إصدار واحدة، وهو ليس الترتيب الافتراضي في Keycloak، ومن هنا تأتي الخطورة المنخفضة؛ وحيثما وُجد هذا الترتيب فإن النتيجة هي أن النشر يوثّق متصلًا كان ينبغي رفضه. قم بالترقية إلى Apache Camel 4.23.0، الذي يعالج المشكلة. يجب على المستخدمين على فرع إصدارات LTS 4.18.x الترقية إلى 4.18.5. ويجب على المستخدمين على فرع إصدارات LTS 4.22.x الترقية إلى 4.22.1. يُعامَل غياب ادعاء iss الآن على أنه فشل في التحقق بدلًا من أن يكون سببًا لتخطي التحقق. وبالنسبة للنشر الذي لا يمكنه الترقية فورًا، تأكد من أن نقطة نهاية الفحص تُرجع ادعاء iss، وأنها تخدم جهة إصدار واحدة فقط.

المصادر

• CVE-2026-85301PoC

  أداة إثبات مفهوم قابلة للتشغيل لإعادة إنتاج تجاوز التحقق من المُصدر (issuer) في Apache Camel camel-keycloak (CWE-287)، تُوضّح السلوك المتأثر والسلوك المُصحَّح في Spring Boot وQuarkus.