CVE-2026-85301

요약

Apache Camel Keycloak 컴포넌트의 부적절한 인증 취약점. 이 문제는 Apache Camel에 영향을 미침: 4.15.0부터 4.18.5 이전, 4.19.0부터 4.22.1 이전. 보안 프로세서는 인트로스펙션 응답에 실제로 iss 클레임이 포함된 경우에만 인트로스펙션된 토큰의 발급자를 검증했다. 클레임이 없을 때 검사는 실패로 처리되지 않고 건너뛰어졌으므로, 인트로스펙션 엔드포인트가 발급자를 명시하지 않고 응답하는 경우 구성된 발급자가 발급하지 않은 토큰이 허용될 수 있었다. 이에 도달하려면 iss를 생략하고 둘 이상의 발급자로부터 토큰을 허용하는 인트로스펙션 엔드포인트가 필요하며, 이는 기본 Keycloak 구성이 아니므로 심각도가 낮다. 그러한 구성이 존재하는 경우 그 결과는 배포가 거부했어야 할 호출자를 인증한다는 것이다. 이 문제를 수정한 Apache Camel 4.23.0으로 업그레이드하라. 4.18.x LTS 릴리스 스트림 사용자는 4.18.5로 업그레이드해야 한다. 4.22.x LTS 릴리스 스트림 사용자는 4.22.1로 업그레이드해야 한다. 이제 iss 클레임이 없으면 검사를 건너뛰는 이유가 아니라 검증 실패로 처리된다. 즉시 업그레이드할 수 없는 배포의 경우, 인트로스펙션 엔드포인트가 iss 클레임을 반환하고 정확히 하나의 발급자만 제공하도록 하라.

소스

• CVE-2026-85301PoC

  Spring Boot와 Quarkus에서 영향을 받는 동작과 패치된 동작을 보여주는 Apache Camel camel-keycloak 발급자 검증 우회(CWE-287)에 대한 실행 가능한 개념 증명 재현기입니다.