oscerd/cve-2026-85301Riproduttore proof-of-concept eseguibile per il bypass della validazione dell'issuer in Apache Camel camel-keycloak (CWE-287), che dimostra il comportamento vulnerabile e quello corretto in Spring Boot e Quarkus.
Riproduttore proof-of-concept eseguibile per la vulnerabilità di Apache Camel in cui il
KeycloakSecurityProcessor di camel-keycloak validava l'issuer di un token introspettato solo quando la risposta di introspezione
conteneva effettivamente un claim iss. Quando il claim era assente il controllo veniva saltato anziché trattato come un
fallimento, quindi un token non emesso dall'issuer configurato poteva essere accettato — a condizione che l'endpoint di introspezione
rispondesse active senza indicare un issuer. Laddove un deployment esegue l'introspezione verso un endpoint che omette iss e
serve più di un issuer, la conseguenza è che autentica un chiamante che avrebbe dovuto rifiutare (CWE-287).
| Runtime | Directory | Stack |
|---|---|---|
| Camel Spring Boot | camel-spring-boot/ | Spring Boot 3.5.13 + camel-keycloak 4.22.0 (affetto; corretto in 4.22.1) |
| Camel Quarkus | camel-quarkus/ | Quarkus 3.39.0 + camel-quarkus-keycloak (Camel 4.22.0, affetto; controllo corretto CQ 3.40.0 / Camel 4.22.1) |
Entrambi i moduli dimostrano il comportamento affetto e quello corretto contro il reale KeycloakSecurityProcessor.
Il driver configura un KeycloakSecurityPolicy con validateIssuer=true (issuer atteso
http://localhost:8080/realms/test-realm) e un introspettore di token che riporta il token attivo ma non restituisce
alcun claim iss — esattamente ciò che produce un endpoint di introspezione di un broker/gateway, poiché RFC 7662 rende iss
opzionale. Poi aziona un KeycloakSecurityProcessor con un header Authorization: Bearer <attacker-token> e
riporta se la rotta protetta viene raggiunta.
iss mancante fa sì che il processore salti il controllo dell'issuer, quindi il token viene accettato e la
rotta viene raggiunta — un token proveniente da un issuer non previsto viene autenticato.iss assente è un fallimento di validazione; il processore lancia CamelAuthorizationException
("Token issuer missing…") e la rotta non viene mai raggiunta.# Camel Spring Boot
cd camel-spring-boot
mvn clean package
docker compose up -d --build
curl -s http://localhost:8080/exploit/attack # affected: route reached, token accepted; >>> PROVEN
docker compose down
# Patched control
mvn clean package -Dcamel.version=4.22.1
java -jar target/cve-2026-85301-keycloak-issuer-bypass-0.0.1-SNAPSHOT.jar &
curl -s http://localhost:8080/exploit/attack # fixed: CamelAuthorizationException "Token issuer missing"; >>> Not exploited
# Camel Quarkus
cd camel-quarkus
mvn clean package
docker compose up -d --build
curl -s http://localhost:8080/exploit/attack # affected (Camel 4.22.0): route reached, token accepted
docker compose down
# Patched control: CQ 3.40.0 ships Camel 4.22.1
mvn clean package -Dcamel-quarkus.version=3.40.0 -Dquarkus.platform.version=3.40.0
java -jar target/quarkus-app/quarkus-run.jar &
curl -s http://localhost:8080/exploit/attack # fixed: CamelAuthorizationException "Token issuer missing"
| Proprietà | Valore |
|---|---|
| Componente | camel-keycloak (KeycloakSecurityProcessor.validateIssuerFromIntrospection) |
| CWE | CWE-287 (Autenticazione impropria) |
| Gravità | MEDIA |
| Vettore di attacco | Un token proveniente da un issuer non previsto, sottoposto a introspezione su un endpoint che omette iss e serve più di un issuer, con validateIssuer=true |
| Impatto | La distribuzione autentica un chiamante il cui token non è stato emesso dall'issuer configurato |
| Versioni interessate | Dalla 4.15.0 precedente alla 4.18.5, dalla 4.19.0 precedente alla 4.22.1 |
| Versioni corrette | 4.18.5, 4.22.1, 4.23.0 |
| JIRA | CAMEL-24448 |
| Riconoscimento | Claude Security Scan Tool |
Avviso: https://camel.apache.org/security/CVE-2026-85301.html
Il modulo Quarkus interessato è basato su CQ 3.39.0 (Camel 4.22.0), dove
camel-quarkus-keycloakcorrisponde a una versione di Camel interessata. Il controllo corretto è CQ 3.40.0 (Camel 4.22.1).
KeycloakSecurityProcessor ora tratta un claim iss assente come un
errore di validazione: quando la validazione dell'issuer è abilitata e il risultato dell'introspezione non contiene alcun
issuer, genera CamelAuthorizationException invece di restituire anticipatamente e lasciar passare la richiesta. Il
codice precedente saltava il confronto ogni volta che il claim era mancante, il che lasciava l'issuer non verificato
proprio per i token che non indicavano alcun issuer.
Assicurarsi che l'endpoint di introspezione restituisca il claim iss e serva esattamente un issuer, così che un token
proveniente da qualsiasi altro issuer sia o indicato (e rifiutato) o non venga mai sottoposto a introspezione come attivo.
Questo repository è pubblicato per scopi educativi e difensivi: per aiutare gli utenti di Apache Camel a comprendere la vulnerabilità, verificare se sono interessati e confermare che l'aggiornamento la risolva. L'introspettore di token è uno stub in-process e non è coinvolto alcun server Keycloak reale né chiamata di rete; il "token dell'attaccante" è una stringa segnaposto opaca. Non utilizzare questo materiale contro sistemi di cui non si è proprietari o gestori.