CVE-2026-53913 — camel-keycloak Fail-Open 인증 우회

동일한 Apache Camel 취약점에 대한 실행 가능한 개념 증명(PoC) 재현 코드로, 런타임별로 하나씩 제공됩니다:

두 버전 모두 영향을 받는 버전이며(4.18.3 / 4.21.0에서 수정됨), 둘 다 동일한 결함을 보여줍니다: KeycloakSecurityPolicy은 문서화된 "기본 설정(Basic Setup)"에서 필수 역할/권한이 없을 때 제시된 토큰을 전혀 검증하지 않습니다 — 토큰에 대해 null이 아닌지만 확인합니다. 모든 가비지 또는 위조된 bearer 값이 보호된 라우트에 도달하며, 해당 라우트가 코드 실행 싱크로 전달되면 결과적으로 인증되지 않은 원격 코드 실행(CWE-287 / CWE-306 / CWE-636)이 발생합니다. 이는 2026년 배치에서 가장 심각한 문제입니다. (Spring Boot 변형은 exec 컴포넌트를 구동하며, Quarkus 변형은 동등한 프로세서를 구동합니다.)

각 하위 디렉터리는 자체 Dockerfile, docker-compose.yml 및 README를 포함하는 독립적인 프로젝트입니다. 간단히 말해, 둘 다 다음과 같이 실행합니다:

cd camel-spring-boot   # or: cd camel-quarkus
mvn clean package
docker compose up -d --build
curl -s http://localhost:8080/exploit/attack
docker compose down

취약점 요약

보안 공지: https://camel.apache.org/security/CVE-2026-53913.html

면책 조항

이 재현 코드는 공개적으로 공개되었고 수정된 취약점에 대해 보안 연구 및 승인된 테스트 전용으로 제공됩니다. 명시적 허가 없이 시스템에 사용하지 마십시오.