CVE-2026-66908 — camel-platform-http-main JWT iss/aud が検証されない

Apache Camel の脆弱性に対する実行可能な Proof-of-Concept 再現コードです。この脆弱性では、camel-main 組み込み HTTP サーバーが、jwtIssuer も jwtAudience も設定されていない場合に、キーストアのみから JWT 認証子を構築するため、受信トークンは署名と有効期限のみがチェックされ、iss および aud クレームは一切検証されません。

なぜ Camel Spring Boot / Camel Quarkus ではなく camel-main なのか? 影響を受けるクラス JWTAuthenticationConfigurer は camel-platform-http-main — camel-main 組み込み HTTP サーバー (MainHttpServer) に存在します。これは、スタンドアロンの camel-main アプリケーションと camel-jbang で使用されます。このサーバーは、Camel Spring Boot の platform-http 統合 (サーブレットベース) でも、Camel Quarkus の統合 (独自のセキュリティを持つ Quarkus/Vert.x HTTP) でもありません。そのため、この特定の欠陥に対する忠実な Spring Boot または Quarkus の再現コードは存在しません。したがって、このリポジトリは、バグの正確なホストであるスタンドアロンの camel-main 再現コードを提供します。

cd camel-main
mvn clean package
docker compose up -d --build
curl -s http://localhost:8080/exploit
docker compose down

影響を受けるビルドでの期待される出力:

[1] GET /protected with NO token                       -> HTTP 401  (auth is enforced)
[2] GET /protected with token iss=https://attacker.example aud=some-unrelated-service  -> HTTP 200  (ACCEPTED — iss/aud NOT validated)
[3] GET /protected with the same token but EXPIRED     -> HTTP 401  (expiry IS checked)
>>> PROVEN: ... the iss and aud claims were never checked ... : true

脆弱性の概要

アドバイザリ: https://camel.apache.org/security/CVE-2026-66908.html

修正内容

4.22.0 以降、JWT キーストアが設定されているにもかかわらず jwtIssuer も jwtAudience も設定されていない場合、サーバーは不足しているプロパティを指定して起動を拒否します。実際に署名と有効期限のみの検証を望む運用者は、camel.server.jwtAllowMissingIssuerAndAudience=true で明示的にオプトインする必要があります (デフォルトではフェイルクローズ):

// fixed (JWTAuthenticationConfigurer.assertIssuerOrAudienceConfigured)
if (ObjectHelper.isEmpty(audience) && ObjectHelper.isEmpty(issuer)) {
    throw new IllegalArgumentException(
        "JWT authentication requires camel.server.jwtIssuer or camel.server.jwtAudience to be configured, ...");
}

免責事項

このリポジトリは、教育および防御目的で公開されています。Apache Camel ユーザーが脆弱性を理解し、影響を受けるかどうかを確認し、アップグレードで解決することを確認できるようにするためです。トークンは、プロジェクトに同梱されている使い捨てのデモ用キーストアに対してローカルで生成されます。この資料を、あなたが所有または運用していないシステムに対して使用しないでください。