CVE-2026-53913 — обход аутентификации Fail-Open в camel-keycloak

Рабочие proof-of-concept репроducers для одной и той же уязвимости Apache Camel, по одному на каждый рантайм:

Обе версии затронуты уязвимостью (исправлено в 4.18.3 / 4.21.0), и обе демонстрируют один и тот же дефект: KeycloakSecurityPolicy, в документированной «базовой настройке» (Basic Setup) без требуемых ролей/разрешений, никогда не проверяет предъявленный токен — токен проходит лишь проверку на то, что он не null. Любое мусорное или поддельное значение bearer-токена достигает защищённого маршрута, и когда этот маршрут перенаправляет запрос в sink выполнения кода, результатом становится неаутентифицированное удалённое выполнение кода (CWE-287 / CWE-306 / CWE-636). Это самая серьёзная проблема в батче 2026 года. (Вариант на Spring Boot задействует компонент exec; вариант на Quarkus — эквивалентный процессор.)

Каждый подкаталог — это самостоятельный проект с собственными Dockerfile, docker-compose.yml и README. Вкратце, для любого из них:

cd camel-spring-boot   # or: cd camel-quarkus
mvn clean package
docker compose up -d --build
curl -s http://localhost:8080/exploit/attack
docker compose down

Сводка по уязвимости

Уведомление об уязвимости: https://camel.apache.org/security/CVE-2026-53913.html

Отказ от ответственности

Эти репроducers предоставляются только для исследований в области безопасности и авторизованного тестирования, для публично раскрытой и исправленной уязвимости. Не используйте их против систем без явного разрешения.