CVE-2026-53913 — camel-keycloak フェイルオープン認証バイパス

同一の Apache Camel 脆弱性に対する実行可能な概念実証再現コード。ランタイムごとに1つずつ:

いずれも影響を受けるバージョンです（4.18.3 / 4.21.0 で修正）。両方とも同一の欠陥を示しています: KeycloakSecurityPolicy は、必要なロール/権限を指定しない文書化された "Basic Setup" において、提示されたトークンを決して検証しません。トークンは null ではないことだけがチェックされます。偽造または改ざんされたベアラー値がいずれも保護ルートに到達し、そのルートがコード実行シンクに転送されると、認証されていないリモートコード実行 (CWE-287 / CWE-306 / CWE-636) が発生します。これは 2026 年のバッチで最も深刻な問題です。(Spring Boot バリアントは exec コンポーネントを駆動し、Quarkus バリアントは同等のプロセッサを駆動します。)

各サブディレクトリは独立したプロジェクトで、独自の Dockerfile、docker-compose.yml、および README を持っています。簡単に言うと、どちらでも:

cd camel-spring-boot   # または: cd camel-quarkus
mvn clean package
docker compose up -d --build
curl -s http://localhost:8080/exploit/attack
docker compose down

脆弱性概要

アドバイザリ: https://camel.apache.org/security/CVE-2026-53913.html

免責事項

これらの再現コードはセキュリティ研究および許可されたテストのみを目的として提供されています。公開され修正済みの脆弱性に対するものです。明示的な許可なくシステムに対して使用しないでください。