CVE-2026-85301

Résumé

Vulnérabilité d'authentification incorrecte dans le composant Apache Camel Keycloak. Ce problème affecte Apache Camel : de 4.15.0 avant 4.18.5, de 4.19.0 avant 4.22.1. Le processeur de sécurité validait l'émetteur d'un jeton introspecté uniquement lorsque la réponse d'introspection contenait effectivement une revendication iss. En l'absence de cette revendication, la vérification était ignorée plutôt que traitée comme un échec, de sorte qu'un jeton qui n'avait pas été émis par l'émetteur configuré pouvait être accepté, à condition que le point de terminaison d'introspection ait répondu sans indiquer d'émetteur. Atteindre ce cas nécessite un point de terminaison d'introspection qui omet iss et accepte des jetons provenant de plusieurs émetteurs, ce qui n'est pas la configuration Keycloak par défaut, d'où la faible gravité ; lorsque cette configuration existe, la conséquence est que le déploiement authentifie un appelant qu'il aurait dû rejeter. Effectuez la mise à niveau vers Apache Camel 4.23.0, qui corrige le problème. Les utilisateurs des versions LTS 4.18.x doivent effectuer la mise à niveau vers 4.18.5. Les utilisateurs des versions LTS 4.22.x doivent effectuer la mise à niveau vers 4.22.1. Une revendication iss absente est désormais traitée comme un échec de validation plutôt que comme une raison d'ignorer la vérification. Pour les déploiements qui ne peuvent pas effectuer la mise à niveau immédiatement, assurez-vous que le point de terminaison d'introspection renvoie la revendication iss et qu'il ne sert qu'un seul émetteur.

Sources

• CVE-2026-85301PoC

  Reproducteur de preuve de concept exécutable pour le contournement de la validation de l'émetteur camel-keycloak d'Apache Camel (CWE-287), démontrant le comportement affecté et corrigé dans Spring Boot et Quarkus.