CVE-2026-46455 — camel-keycloak における IS_ACTIVE チェックの欠落 (期限切れトークンの受け入れ)

同じApache Camel脆弱性に対する実行可能な概念実証(PoC)再現コードです。ランタイムごとに1つ用意されています:

どちらも影響を受けるバージョンです (4.18.3 / 4.21.0 で修正)。両方とも同一の欠陥を示します: KeycloakSecurityHelper.parseAndVerifyAccessToken はトークンの署名、サブジェクト、発行者を検証しますが、Keycloakの TokenVerifier.IS_ACTIVE チェックを省略しています。そのため exp / nbf は決して強制されず、期限切れトークンが受け入れられます。漏洩または傍受されたトークンは無期限に使用可能なままとなります (CWE-613 + CWE-287)。

各PoCは、exp が30分前に設定された正しく署名されたアクセストークンを生成し、それを脆弱なヘルパーと IS_ACTIVE を追加した検証器 (修正が行う処理) の両方に通します。これにより、ヘルパーが IS_ACTIVE が拒否するものを受け入れることを証明します。Keycloakサーバーは不要です。トークンはプロセス内で生成されたRSAキーで署名されます。

各サブディレクトリは、それぞれ独自の Dockerfile、docker-compose.yml、README を備えた自己完結型プロジェクトです。要するに、どちらでも次のように実行します:

cd camel-spring-boot   # or: cd camel-quarkus
mvn clean package
docker compose up -d --build
curl -s http://localhost:8080/exploit/attack
docker compose down

脆弱性の概要

勧告: https://camel.apache.org/security/CVE-2026-46455.html

免責事項

これらの再現コードは、公開され修正済みの脆弱性に対するセキュリティ研究および許可されたテストのみを目的として提供されています。明示的な許可なくシステムに対して使用しないでください。