CVE-2026-46455

Zusammenfassung

Unzureichende Sitzungsablauf-Schwachstelle in der Apache Camel Keycloak-Komponente. Der camel-keycloak-Sicherheitshelfer KeycloakSecurityHelper.parseAndVerifyAccessToken erstellt einen Keycloak TokenVerifier unter Verwendung von withChecks(...) mit nur dem Subjekt-Existenz-Check und dem Realm-URL-(Issuer-)Check. Keycloaks TokenVerifier.withChecks(...) fügt an eine anfänglich leere Checkliste an – die standardmäßigen Upstream-Checks werden nur installiert, wenn withDefaultChecks() aufgerufen wird – daher wird das eingebaute IS_ACTIVE-Prädikat, das die exp- (Ablauf) und nbf- (Not-Before) Claims des Tokens validiert, nie angewendet. Infolgedessen verifiziert der Helfer die Token-Signatur, das Subjekt und den Issuer, setzt aber das Gültigkeitsfenster des Tokens nicht durch: Ein Zugriffstoken, das abgelaufen oder noch nicht gültig ist, wird als gültig akzeptiert. Routen, die sich auf diesen Helfer zur Authentifizierung eingehender Anfragen verlassen, akzeptieren daher Zugriffstokens außerhalb ihrer vorgesehenen Lebensdauer. Dieses Problem betrifft Apache Camel: von 4.18.0 vor 4.18.3, von 4.19.0 vor 4.21.0. Benutzern wird empfohlen, auf Version 4.21.0 zu aktualisieren, die das Problem behebt. Wenn Benutzer auf dem 4.18.x-Release-Stream sind, wird empfohlen, auf 4.18.3 zu aktualisieren. Der Fix bewirkt, dass KeycloakSecurityHelper.parseAndVerifyAccessToken den TokenVerifier.IS_ACTIVE-Check einbezieht, sodass abgelaufene oder noch nicht gültige Zugriffstokens abgelehnt werden, wodurch der Helfer an den standardmäßigen Check-Satz von Keycloak angeglichen wird. Für Bereitstellungen, die nicht sofort aktualisieren können, setzen Sie den Token-Ablauf außerhalb des Helfers durch – validieren Sie beispielsweise die exp/nbf-Claims des Zugriffstokens in der Route, bevor Sie ihm vertrauen, halten Sie die Lebensdauer von Keycloak-Zugriffstokens kurz und stellen Sie sicher, dass auch ein vorgelagertes Gateway oder Ressourcenserver das Token-Gültigkeitsfenster validiert.

• CVE-2026-46455PoC