CVE-2026-85301

概要

Apache Camel Keycloakコンポーネントにおける不適切な認証の脆弱性。この問題はApache Camelに影響します: 4.15.0から4.18.5より前、4.19.0から4.22.1より前。セキュリティプロセッサは、イントロスペクション応答に実際にissクレームが含まれている場合にのみ、イントロスペクトされたトークンの発行者を検証していました。クレームが存在しない場合、チェックは失敗として扱われずスキップされたため、イントロスペクションエンドポイントが発行者を明示せずに応答した場合、設定された発行者が発行していないトークンが受け入れられる可能性がありました。この問題に到達するには、issを省略し、複数の発行者からのトークンを受け入れるイントロスペクションエンドポイントが必要であり、これはKeycloakのデフォルト構成ではないため、深刻度は低くなっています。そのような構成が存在する場合、結果としてデプロイメントは拒否すべき呼び出し元を認証してしまいます。この問題を修正したApache Camel 4.23.0にアップグレードしてください。4.18.x LTSリリースストリームのユーザーは4.18.5にアップグレードする必要があります。4.22.x LTSリリースストリームのユーザーは4.22.1にアップグレードする必要があります。issクレームが存在しない場合は、チェックをスキップする理由ではなく、検証失敗として扱われるようになりました。すぐにアップグレードできないデプロイメントでは、イントロスペクションエンドポイントがissクレームを返すこと、および単一の発行者のみを提供することを確認してください。

ソース

• CVE-2026-85301PoC

  Apache Camel camel-keycloak の発行者検証バイパス（CWE-287）に関する実行可能な概念実証（PoC）再現ツールで、Spring Boot と Quarkus における影響を受ける挙動と修正済みの挙動を示します。