CVE-2026-85301

总结

Apache Camel Keycloak 组件中的身份验证不当漏洞。此问题影响 Apache Camel：从 4.15.0 到 4.18.5 之前，从 4.19.0 到 4.22.1 之前。该安全处理器仅在自省响应实际携带 iss 声明时才验证自省令牌的签发者。当该声明缺失时，检查被跳过而非被视为失败，因此，只要自省端点在不指明签发者的情况下作出响应，配置的签发者并未签发的令牌就可能被接受。触发此问题需要自省端点省略 iss 并接受来自多个签发者的令牌，而这并非 Keycloak 的默认配置，因此严重性较低；在存在该配置的情况下，后果是部署会认证本应被拒绝的调用方。请升级至 Apache Camel 4.23.0，该版本修复了此问题。使用 4.18.x LTS 发布流的用户应升级至 4.18.5。使用 4.22.x LTS 发布流的用户应升级至 4.22.1。现在，缺失 iss 声明会被视为验证失败，而不再作为跳过检查的理由。对于无法立即升级的部署，请确保自省端点返回 iss 声明，并且该端点仅服务于一个签发者。

来源

• CVE-2026-85301PoC

  针对 Apache Camel camel-keycloak 颁发者验证绕过漏洞（CWE-287）的可运行概念验证复现程序，演示 Spring Boot 和 Quarkus 中受影响与已修补的行为。