CVE-2026-46455

概要

Apache Camel Keycloakコンポーネントにおけるセッション有効期限の不十分な検証の脆弱性。camel-keycloakセキュリティヘルパーであるKeycloakSecurityHelper.parseAndVerifyAccessTokenは、withChecks(...)を使用してKeycloak TokenVerifierを構築しますが、その際にサブジェクト存在チェックとレルムURL（発行者）チェックのみを指定します。KeycloakのTokenVerifier.withChecks(...)は、最初は空のチェックリストに追加していく仕組みであり、デフォルトのチェックがインストールされるのはwithDefaultChecks()が呼び出されたときだけです。そのため、トークンのexp（有効期限）およびnbf（有効開始前）クレームを検証する組み込みのIS_ACTIVE述語は適用されません。結果として、このヘルパーはトークンの署名、サブジェクト、発行者を検証しますが、トークンの有効期間ウィンドウを強制しません。有効期限切れのアクセストークンや、まだ有効になっていないアクセストークンが有効なものとして受け入れられます。このヘルパーに依存して受信リクエストを認証するルートは、意図された有効期間外のアクセストークンを受け入れることになります。この問題はApache Camelに影響します：4.18.0から4.18.3未満、4.19.0から4.21.0未満。ユーザーはこの問題を修正したバージョン4.21.0にアップグレードすることを推奨されます。4.18.xリリースストリームを使用している場合は、4.18.3にアップグレードすることを推奨します。この修正により、KeycloakSecurityHelper.parseAndVerifyAccessTokenにTokenVerifier.IS_ACTIVEチェックが含まれ、有効期限切れまたはまだ有効になっていないアクセストークンが拒否されるようになり、ヘルパーがKeycloakのデフォルトのチェックセットと一致します。すぐにアップグレードできないデプロイメントでは、ヘルパーの外部でトークンの有効期限を強制してください。例えば、ルート内でアクセストークンを信頼する前にexp/nbfクレームを検証し、Keycloakのアクセストークンの有効期間を短く保ち、上流のゲートウェイまたはリソースサーバーでもトークンの有効期間ウィンドウを検証するようにしてください。

ソース

• CVE-2026-46455PoC

  CVE-2026-46455 の再現スクリプト — Apache Camel camel-keycloak における TokenVerifier.IS_ACTIVE チェックの欠落（期限切れアクセストークンが受け入れられる）