CVE-2026-85301

Riepilogo

Vulnerabilità di autenticazione impropria nel componente Apache Camel Keycloak. Il problema riguarda Apache Camel: dalla 4.15.0 precedente alla 4.18.5, dalla 4.19.0 precedente alla 4.22.1. Il processore di sicurezza convalidava l'issuer di un token sottoposto a introspezione solo quando la risposta di introspezione conteneva effettivamente un claim iss. In assenza del claim, il controllo veniva saltato anziché trattato come un fallimento, per cui un token non emesso dall'issuer configurato poteva essere accettato purché l'endpoint di introspezione rispondesse senza indicare un issuer. Per raggiungere questa condizione è necessario un endpoint di introspezione che ometta iss e accetti token da più di un issuer, il che non è la configurazione predefinita di Keycloak, da cui la bassa gravità; laddove tale configurazione esista, la conseguenza è che il deployment autentica un chiamante che avrebbe dovuto rifiutare. Aggiornare ad Apache Camel 4.23.0, che risolve il problema. Gli utenti sul ramo delle release LTS 4.18.x devono aggiornare alla 4.18.5. Gli utenti sul ramo delle release LTS 4.22.x devono aggiornare alla 4.22.1. Un claim iss assente viene ora trattato come un fallimento di convalida anziché come un motivo per saltare il controllo. Per i deployment che non possono aggiornare immediatamente, assicurarsi che l'endpoint di introspezione restituisca il claim iss e che serva esattamente un issuer.

Fonti

• CVE-2026-85301PoC

  Riproduttore proof-of-concept eseguibile per il bypass della validazione dell'issuer in Apache Camel camel-keycloak (CWE-287), che dimostra il comportamento vulnerabile e quello corretto in Spring Boot e Quarkus.