CVE-2026-85301

Zusammenfassung

Schwachstelle durch unsachgemäße Authentifizierung in der Apache Camel Keycloak-Komponente. Dieses Problem betrifft Apache Camel: von 4.15.0 vor 4.18.5, von 4.19.0 vor 4.22.1. Der Sicherheitsprozessor validierte den Aussteller eines introspektierten Tokens nur dann, wenn die Introspektionsantwort tatsächlich einen iss-Claim enthielt. Fehlte der Claim, wurde die Prüfung übersprungen statt als Fehlschlag behandelt, sodass ein Token, das nicht vom konfigurierten Aussteller ausgestellt wurde, akzeptiert werden konnte, sofern der Introspektionsendpunkt ohne Angabe eines Ausstellers antwortete. Um dies zu erreichen, ist ein Introspektionsendpunkt erforderlich, der iss auslässt und Tokens von mehr als einem Aussteller akzeptiert, was nicht der Standardkonfiguration von Keycloak entspricht, daher die geringe Schwere; wo diese Konfiguration jedoch vorliegt, besteht die Folge darin, dass die Bereitstellung einen Aufrufer authentifiziert, der hätte abgelehnt werden müssen. Führen Sie ein Upgrade auf Apache Camel 4.23.0 durch, das das Problem behebt. Benutzer des LTS-Release-Streams 4.18.x sollten auf 4.18.5 aktualisieren. Benutzer des LTS-Release-Streams 4.22.x sollten auf 4.22.1 aktualisieren. Ein fehlender iss-Claim wird nun als Validierungsfehler behandelt und nicht als Grund, die Prüfung zu überspringen. Für Bereitstellungen, die nicht sofort aktualisiert werden können, stellen Sie sicher, dass der Introspektionsendpunkt den iss-Claim zurückgibt und dass er genau einen Aussteller bedient.

Quellen

• CVE-2026-85301PoC

  Lauffähiger Proof-of-Concept-Reproduzierer für die Umgehung der Issuer-Validierung in Apache Camel camel-keycloak (CWE-287), der das Verhalten in Spring Boot und Quarkus sowohl im betroffenen als auch im gepatchten Zustand demonstriert.