CVE-2026-85301

Резюме

Уязвимость неправильной аутентификации в компоненте Apache Camel Keycloak. Проблема затрагивает Apache Camel: с 4.15.0 до 4.18.5, с 4.19.0 до 4.22.1. Процессор безопасности проверял издателя интроспектированного токена только тогда, когда ответ интроспекции фактически содержал утверждение iss. Когда утверждение отсутствовало, проверка пропускалась, а не рассматривалась как ошибка, поэтому токен, выпущенный не настроенным издателем, мог быть принят при условии, что конечная точка интроспекции отвечала без указания издателя. Для этого требуется конечная точка интроспекции, которая опускает iss и принимает токены от более чем одного издателя, что не является конфигурацией Keycloak по умолчанию, отсюда низкая степень серьёзности; там, где такая конфигурация существует, следствием является то, что развёртывание аутентифицирует вызывающую сторону, которую должно было отклонить. Обновитесь до Apache Camel 4.23.0, где эта проблема исправлена. Пользователям ветки LTS-релизов 4.18.x следует обновиться до 4.18.5. Пользователям ветки LTS-релизов 4.22.x следует обновиться до 4.22.1. Отсутствующее утверждение iss теперь рассматривается как ошибка валидации, а не как причина пропустить проверку. Для развёртываний, которые не могут обновиться немедленно, убедитесь, что конечная точка интроспекции возвращает утверждение iss и обслуживает ровно одного издателя.

Источники

• CVE-2026-85301PoC

  Рабочий воспроизводитель proof-of-concept для обхода проверки издателя camel-keycloak в Apache Camel (CWE-287), демонстрирующий уязвимое и исправленное поведение в Spring Boot и Quarkus.