CVE-2026-46455

Resumo

# Vulnerabilidade de Expiração de Sessão Insuficiente no Componente Keycloak do Apache Camel Existe uma vulnerabilidade de Expiração de Sessão Insuficiente no Componente Keycloak do Apache Camel. O auxiliar de segurança do camel-keycloak, `KeycloakSecurityHelper.parseAndVerifyAccessToken`, constrói um `Keycloak TokenVerifier` usando `withChecks(...)` apenas com a verificação de existência do sujeito (subject) e a verificação da URL do realm (emissor). O `TokenVerifier.withChecks(...)` do Keycloak adiciona a uma lista de verificações inicialmente vazia — as verificações padrão upstream são instaladas somente quando `withDefaultChecks()` é chamado — portanto, o predicado integrado `IS_ACTIVE`, que valida as declarações `exp` (expiração) e `nbf` (não antes de) do token, nunca é aplicado. Como resultado, o auxiliar verifica a assinatura, o sujeito e o emissor do token, mas não impõe a janela de validade do token: um token de acesso que esteja expirado, ou que ainda não seja válido, é aceito como válido. Rotas que dependem deste auxiliar para autenticar requisições recebidas, portanto, aceitam tokens de acesso que estão fora do seu tempo de vida pretendido. Este problema afeta o Apache Camel: das versões 4.18.0 até antes da 4.18.3, e das versões 4.19.0 até antes da 4.21.0. Recomenda-se que os usuários atualizem para a versão 4.21.0, que corrige o problema. Se os usuários estiverem no fluxo de lançamentos 4.18.x, sugere-se que atualizem para a 4.18.3. A correção faz com que o `KeycloakSecurityHelper.parseAndVerifyAccessToken` inclua a verificação `TokenVerifier.IS_ACTIVE`, de modo que tokens de acesso expirados ou ainda não válidos sejam rejeitados, alinhando o auxiliar ao conjunto de verificações padrão do Keycloak. Para implantações que não podem atualizar imediatamente, imponha a expiração do token fora do auxiliar — por exemplo, valide as declarações `exp`/`nbf` do token de acesso na rota antes de confiar nele, mantenha os tempos de vida dos tokens de acesso do Keycloak curtos e garanta que qualquer gateway upstream ou servidor de recursos também valide a janela de validade do token.

Fontes

• CVE-2026-46455