CVE-2026-53913 — Omisión de autenticación por fail-open en camel-keycloak

Reproducciones de prueba de concepto ejecutables para la misma vulnerabilidad de Apache Camel, una por runtime:

Ambas son versiones afectadas (corregidas en 4.18.3 / 4.21.0) y ambas demuestran el mismo defecto: KeycloakSecurityPolicy, en su "Basic Setup" documentado, sin roles/permisos requeridos, nunca verifica el token presentado — el token solo recibe una comprobación de no nulidad. Cualquier valor bearer basura o falsificado llega a la ruta protegida y, cuando esa ruta reenvía a un sumidero de ejecución de código, el resultado es una ejecución remota de código no autenticada (CWE-287 / CWE-306 / CWE-636). Este es el problema más grave del lote de 2026. (La variante de Spring Boot utiliza el componente exec; la variante Quarkus utiliza un procesador equivalente.)

Cada subdirectorio es un proyecto autocontenido con su propio Dockerfile, docker-compose.yml y README. En resumen, para cualquiera de los dos:

cd camel-spring-boot   # or: cd camel-quarkus
mvn clean package
docker compose up -d --build
curl -s http://localhost:8080/exploit/attack
docker compose down

Resumen de la vulnerabilidad

Aviso: https://camel.apache.org/security/CVE-2026-53913.html

Descargo de responsabilidad

Estas reproducciones se proporcionan únicamente para investigación de seguridad y pruebas autorizadas, para una vulnerabilidad divulgada públicamente y corregida. No las utilice contra sistemas sin permiso explícito.