CVE-2026-23552

Apache Camel: pominięcie weryfikacji issuer JWT w KeycloakSecurityPolicy

CVSS 9.1v3.1pub. 2026-02-23upd. 2026-02-26

Komponent Camel-Keycloak nie weryfikuje pola 'iss' (issuer) w tokenach JWT względem skonfigurowanego realm Keycloak. Oznacza to, że token wystawiony przez jeden realm jest cicho akceptowany przez politykę skonfigurowaną dla zupełnie innego realm, co całkowicie łamie izolację między tenantami.

▸ Pokaż oryginał (EN)

Cross-Realm Token Acceptance Bypass in KeycloakSecurityPolicy Apache Camel Keycloak component. The Camel-Keycloak KeycloakSecurityPolicy does not validate the iss (issuer) claim of JWT tokens against the configured realm. A token issued by one Keycloak realm is silently accepted by a policy configured for a completely different realm, breaking tenant isolation. This issue affects Apache Camel: from 4.15.0 before 4.18.0. Users are recommended to upgrade to version 4.18.0, which fixes the issue.

🤖 Analiza AI

Jak działa

Podatność (CWE-346 – Origin Validation Error) polega na tym, że KeycloakSecurityPolicy w Apache Camel nie sprawdza, czy claim 'iss' (issuer) w otrzymanym tokenie JWT odpowiada realm skonfigurowanemu w danej polityce. Atakujący posiadający ważny token JWT wystawiony przez dowolny realm tej samej lub innej instancji Keycloak może przesłać go do usługi skonfigurowanej dla innego realm. Usługa zaakceptuje token bez zgłoszenia błędu, ponieważ brakuje walidacji po stronie Camel, mimo że token pochodzi z niezaufanego kontekstu.

Skutki

Atakujący może uzyskać nieautoryzowany dostęp do zasobów chronionych przez politykę innego realm (naruszenie poufności i integralności), skutecznie omijając izolację tenantów w środowiskach wielodostępnych.

Mitygacja

Należy zaktualizować Apache Camel do wersji 4.18.0 lub nowszej, która zawiera poprawkę tego problemu.

Kogo dotyczy

Apache Camel w wersjach od 4.15.0 (włącznie) do 4.18.0 (wyłącznie) korzystających z komponentu Camel-Keycloak z KeycloakSecurityPolicy.

Uwagi

Dostępne jest publiczne repozytorium GitHub (oscerd/CVE-2026-23552) powiązane z tą podatnością, co może sugerować dostępność materiałów proof-of-concept.