CVE-2026-23552 - camel-keycloak におけるクロスレルムトークンの受け入れ

概要

Apache Camel の KeycloakSecurityPolicy は、JWT トークンの iss (issuer) クレームを設定されたレルムに対して検証しません。つまり、ある Keycloak レルムから発行されたトークンが、まったく別のレルム用に設定されたポリシーによって暗黙に受け入れられ、テナントの分離が壊れます。

影響を受けるバージョン: 4.15.0, 4.16.0, 4.17.0

追跡先: https://issues.apache.org/jira/browse/CAMEL-22854

根本原因

KeycloakSecurityHelper.parseAccessToken() では、公開鍵が明示的に提供されていない場合 (デフォルト設定)、トークンは Base64 からデコードされるだけで、検証されることはありません:

public static AccessToken parseAccessToken(String tokenString, PublicKey publicKey)
        throws VerificationException {
    if (publicKey != null) {
        return TokenVerifier.create(tokenString, AccessToken.class)
                .publicKey(publicKey)
                .verify()
                .getToken();
    } else {
        // no signature verification, no issuer check
        return TokenVerifier.create(tokenString, AccessToken.class).getToken();
    }
}

デフォルトのコードパスは else 分岐に入るため、次の 3 つの項目がチェックされません:

トークンの署名が検証されない
iss クレームが期待される {serverUrl}/realms/{realm} と比較されない
Keycloak から JWKS 公開鍵が取得されない

ロールチェックはトークンペイロード内のロール名のみを参照するため、依然として通過します。ロール名 (tenant-user) がレルム間で一致する場合 (マルチテナント構成ではよくあることです)、リクエストはそのまま通ってしまいます。

影響

各テナントが個別の Keycloak レルムに対応するマルチテナントアプリケーションでは、テナント A のユーザーがテナント B 用に保護されたルートにアクセスできます。具体的には次のとおりです:

マルチテナント SaaS アプリケーションにおけるクロステナントデータアクセス
異なるレルムが異なるロール設定を持つ場合の権限昇格
レルムベースのセキュリティ分離の完全なバイパス

再現プログラム

このプロジェクトは、Apache Camel 4.17.0 とローカルの Keycloak インスタンスを使用して、この脆弱性を実証します。

前提条件

Java 17+
Maven 3.9+
Camel JBang CLI (jbang app install camel@apache/camel)
Docker または Podman (camel infra が内部的に使用)

セットアップ

ローカルの Keycloak を起動します:

camel infra run keycloak

これにより、管理資格情報 admin/admin を使用して Keycloak が localhost:8080 で起動します。

実行

mvn verify

動作内容

統合テスト (CrossRealmTokenBypassIT) は次のことを行います:

ローカルの Keycloak に接続し、acme と globex の 2 つのレルムを作成します
各レルムに、ダイレクトアクセスグラントを有効にした機密クライアントを作成します
両方のレルムに tenant-user レルムロールを作成します
acme レルムにユーザー alice (パスワード alice123) を作成し、彼女に tenant-user ロールを割り当てます
globex レルムにバインドされた KeycloakSecurityPolicy によって保護された Camel ルート (direct:globex-protected) を設定します
acme レルムから alice の JWT トークンを取得します (発行者: http://localhost:8080/realms/acme)
そのトークンを globex 保護ルートに送信します

リクエストは成功します。acme トークンは、エラーなしで globex ポリシーを通過します。

4.17.0 での期待されるテスト結果

テスト	結果	意味
`testAcmeTokenIsObtainable`	PASS	健全性チェック -- トークン取得が機能する

パッチ適用済みバージョン (4.18.0+) では、2 番目のテストは失敗し、3 番目のテストは成功します。

クリーンアップ

camel infra stop keycloak

テストは @AfterAll で acme および globex レルムも削除します。

修正

KeycloakSecurityPolicy は、iss クレームが {serverUrl}/realms/{realm} と一致しないトークンを拒否する必要があります。修正は CAMEL-22854 で追跡されており、Camel 4.18.0 (次の LTS リリース) で提供されます。

CVE-2026-23552

人気