CVE-2026-85301

Resumo

Vulnerabilidade de Autenticação Imprópria no componente Apache Camel Keycloak. Este problema afeta o Apache Camel: de 4.15.0 antes de 4.18.5, de 4.19.0 antes de 4.22.1. O processador de segurança validava o emissor de um token introspeccionado apenas quando a resposta de introspeção transportava efetivamente uma claim iss. Quando a claim estava ausente, a verificação era ignorada em vez de tratada como uma falha, pelo que um token que o emissor configurado não emitiu poderia ser aceite desde que o endpoint de introspeção respondesse sem indicar um emissor. Alcançar isto requer um endpoint de introspeção que omita iss e aceite tokens de mais de um emissor, o que não é a configuração padrão do Keycloak, daí a baixa severidade; onde essa configuração existe, a consequência é que a implementação autentica um chamador que deveria ter rejeitado. Atualize para o Apache Camel 4.23.0, que corrige o problema. Os utilizadores do ramo de releases LTS 4.18.x devem atualizar para 4.18.5. Os utilizadores do ramo de releases LTS 4.22.x devem atualizar para 4.22.1. Uma claim iss ausente é agora tratada como uma falha de validação em vez de como uma razão para ignorar a verificação. Para implementações que não possam atualizar imediatamente, garanta que o endpoint de introspeção devolve a claim iss e que serve exatamente um emissor.

Fontes

• CVE-2026-85301PoC

  Reprodutor de prova de conceito executável para o bypass de validação de emissor do Apache Camel camel-keycloak (CWE-287), demonstrando o comportamento afetado e corrigido em Spring Boot e Quarkus.