CVE-2026-85301

सारांश

Apache Camel Keycloak घटक में अनुचित प्रमाणीकरण (Improper Authentication) की भेद्यता। यह समस्या Apache Camel को प्रभावित करती है: 4.15.0 से 4.18.5 से पहले तक, 4.19.0 से 4.22.1 से पहले तक। सुरक्षा प्रोसेसर ने किसी इंट्रोस्पेक्ट किए गए टोकन के जारीकर्ता (issuer) को केवल तब मान्य किया जब इंट्रोस्पेक्शन प्रतिक्रिया में वास्तव में एक iss दावा (claim) शामिल था। जब यह दावा अनुपस्थित था तो जाँच को विफलता के रूप में मानने के बजाय छोड़ दिया गया था, इसलिए ऐसा टोकन जिसे कॉन्फ़िगर किए गए जारीकर्ता ने जारी नहीं किया था, स्वीकार किया जा सकता था, बशर्ते इंट्रोस्पेक्शन एंडपॉइंट ने किसी जारीकर्ता का नाम लिए बिना उत्तर दिया हो। इस तक पहुँचने के लिए ऐसे इंट्रोस्पेक्शन एंडपॉइंट की आवश्यकता होती है जो iss को छोड़ दे और एक से अधिक जारीकर्ताओं के टोकन स्वीकार करे, जो डिफ़ॉल्ट Keycloak व्यवस्था नहीं है, इसलिए गंभीरता कम है; जहाँ ऐसी व्यवस्था मौजूद है वहाँ परिणाम यह होता है कि डिप्लॉयमेंट ऐसे कॉलर को प्रमाणित कर देता है जिसे उसे अस्वीकार करना चाहिए था। इस समस्या को ठीक करने वाले Apache Camel 4.23.0 में अपग्रेड करें। 4.18.x LTS रिलीज़ स्ट्रीम पर उपयोगकर्ताओं को 4.18.5 में अपग्रेड करना चाहिए। 4.22.x LTS रिलीज़ स्ट्रीम पर उपयोगकर्ताओं को 4.22.1 में अपग्रेड करना चाहिए। अनुपस्थित iss दावे को अब जाँच छोड़ने के कारण के बजाय सत्यापन विफलता के रूप में माना जाता है। जो डिप्लॉयमेंट तुरंत अपग्रेड नहीं कर सकते, उन्हें सुनिश्चित करना चाहिए कि इंट्रोस्पेक्शन एंडपॉइंट iss दावा लौटाता है, और यह ठीक एक जारीकर्ता को सेवा प्रदान करता है।

स्रोत

• CVE-2026-85301PoC

  Apache Camel camel-keycloak इश्यूअर सत्यापन बायपास (CWE-287) के लिए रन करने योग्य प्रूफ-ऑफ-कॉन्सेप्ट रिप्रोड्यूसर, जो Spring Boot और Quarkus में प्रभावित और पैच किए गए व्यवहार को प्रदर्शित करता है।