CVE-2026-46455

Резюме

Недостаточный срок действия сеанса в компоненте Apache Camel Keycloak. Вспомогательный класс безопасности camel-keycloak KeycloakSecurityHelper.parseAndVerifyAccessToken создаёт Keycloak TokenVerifier с помощью withChecks(...), передавая только проверку наличия субъекта и проверку URL-адреса области (эмитента). Метод Keycloak TokenVerifier.withChecks(...) добавляет проверки в изначально пустой список — стандартные проверки по умолчанию устанавливаются только при вызове withDefaultChecks() — поэтому встроенный предикат IS_ACTIVE, который проверяет утверждения exp (срок действия) и nbf (не ранее), никогда не применяется. В результате вспомогательный класс проверяет подпись токена, субъект и эмитента, но не обеспечивает соблюдение окна действия токена: токен доступа, срок действия которого истёк или который ещё не действителен, принимается как действительный. Маршруты, которые полагаются на этот вспомогательный класс для аутентификации входящих запросов, таким образом принимают токены доступа за пределами их предполагаемого срока действия. Эта проблема затрагивает Apache Camel: с 4.18.0 до 4.18.3, с 4.19.0 до 4.21.0. Пользователям рекомендуется обновиться до версии 4.21.0, которая устраняет проблему. Если пользователи находятся на ветке выпусков 4.18.x, им рекомендуется обновиться до 4.18.3. Исправление включает проверку TokenVerifier.IS_ACTIVE в KeycloakSecurityHelper.parseAndVerifyAccessToken, чтобы токены доступа с истёкшим сроком действия или ещё не действительные отклонялись, приводя вспомогательный класс в соответствие с набором проверок Keycloak по умолчанию. Для развёртываний, которые не могут обновиться немедленно, обеспечьте проверку срока действия токена вне вспомогательного класса — например, проверяйте утверждения exp/nbf токена доступа в маршруте перед тем, как доверять ему, поддерживайте короткое время жизни токенов доступа Keycloak и убедитесь, что любой вышестоящий шлюз или сервер ресурсов также проверяет окно действия токена.

• CVE-2026-46455PoC