CVE-2026-85301

Luka w zabezpieczeniach nieprawidłowego uwierzytelniania w komponencie Apache Camel Keycloak.

Ten problem dotyczy Apache Camel: od 4.15.0 przed 4.18.5, od 4.19.0 przed 4.22.1.




Procesor bezpieczeństwa zweryfikował wystawcę introspekcji tokena tylko wtedy, gdy odpowiedź introspekcji faktycznie zawierała oświadczenie iss. W przypadku braku żądania czek był raczej pomijany niż traktowany jako niepowodzenie, więc token, którego skonfigurowany wystawca nie wybił, mógł zostać zaakceptowany, pod warunkiem, że punkt końcowy introspekcji odpowiedział bez podawania wystawcy. Osiągnięcie tego wymaga punktu końcowego introspekcji, który pomija iss i akceptuje tokeny od więcej niż jednego wystawcy, co nie jest domyślnym układem Keycloak, stąd niska ważność; tam, gdzie takie rozwiązanie istnieje, konsekwencją jest to, że wdrożenie uwierzytelnia osobę dzwoniącą, którą powinna była odrzucić.

Uaktualnij do Apache Camel 4.23.0, co rozwiąże problem. Użytkownicy strumienia wydań 4.18.x LTS powinni dokonać aktualizacji do wersji 4.18.5. Użytkownicy strumienia wydań 4.22.x LTS powinni dokonać aktualizacji do wersji 4.22.1. Roszczenie o nieobecność jest teraz traktowane jako niepowodzenie walidacji, a nie jako powód do pominięcia kontroli. W przypadku wdrożeń, których nie można uaktualnić natychmiast, upewnij się, że punkt końcowy introspekcji zwraca żądanie iss i obsługuje dokładnie jednego wystawcę.