CVE-2026-53913 — Bypass dell'autenticazione fail-open in camel-keycloak

Reproducer proof-of-concept eseguibili per la medesima vulnerabilità Apache Camel, uno per runtime:

Entrambe sono versioni interessate (corrette in 4.18.3 / 4.21.0) e dimostrano il medesimo difetto: KeycloakSecurityPolicy, nella sua "Basic Setup" documentata, senza ruoli/autorizzazioni richiesti, non verifica mai il token presentato — il token viene sottoposto solo a un controllo di non nullità. Qualsiasi valore bearer spurio o contraffatto raggiunge la rotta protetta e, quando tale rotta inoltra verso un sink di esecuzione di codice, il risultato è un'esecuzione remota di codice non autenticata (CWE-287 / CWE-306 / CWE-636). È il problema più grave del lotto 2026. (La variante Spring Boot pilota il componente exec; la variante Quarkus pilota un processore equivalente.)

Ogni sottodirectory è un progetto autonomo con il proprio Dockerfile, docker-compose.yml e README. In breve, per entrambi:

cd camel-spring-boot   # or: cd camel-quarkus
mvn clean package
docker compose up -d --build
curl -s http://localhost:8080/exploit/attack
docker compose down

Riepilogo della vulnerabilità

Avviso: https://camel.apache.org/security/CVE-2026-53913.html

Esclusione di responsabilità

Questi reproducer sono forniti solo per ricerca sulla sicurezza e test autorizzati, per una vulnerabilità divulgata pubblicamente e corretta. Non utilizzarli contro sistemi senza un permesso esplicito.