CVE-2026-85301

Resumen

Vulnerabilidad de autenticación incorrecta en el componente Keycloak de Apache Camel. Este problema afecta a Apache Camel: desde 4.15.0 antes de 4.18.5, desde 4.19.0 antes de 4.22.1. El procesador de seguridad validaba el emisor de un token introspeccionado solo cuando la respuesta de introspección incluía realmente una declaración iss. Cuando la declaración estaba ausente, la comprobación se omitía en lugar de tratarse como un fallo, por lo que un token que el emisor configurado no había emitido podía ser aceptado siempre que el endpoint de introspección respondiera sin indicar un emisor. Alcanzar esto requiere un endpoint de introspección que omita iss y acepte tokens de más de un emisor, lo cual no es la configuración predeterminada de Keycloak, de ahí la baja severidad; donde existe esa configuración, la consecuencia es que el despliegue autentica a un solicitante que debería haber rechazado. Actualice a Apache Camel 4.23.0, que corrige el problema. Los usuarios de la rama de versiones LTS 4.18.x deben actualizar a 4.18.5. Los usuarios de la rama de versiones LTS 4.22.x deben actualizar a 4.22.1. Una declaración iss ausente ahora se trata como un fallo de validación en lugar de como un motivo para omitir la comprobación. Para los despliegues que no puedan actualizar de inmediato, asegúrese de que el endpoint de introspección devuelva la declaración iss y de que sirva exactamente a un emisor.

Fuentes

• CVE-2026-85301PoC

  Reproductor ejecutable de prueba de concepto para el bypass de validación del emisor de Apache Camel camel-keycloak (CWE-287), que demuestra el comportamiento afectado y el corregido en Spring Boot y Quarkus.