CVE-2026-85301

Vulnerabilità di Improper Authentication nel componente Apache Camel Keycloak.

Questo problema riguarda Apache Camel: dalla versione 4.15.0 prima della 4.18.5, dalla versione 4.19.0 prima della 4.22.1.

Il processore di sicurezza validava l'emittente di un token introspectato solo quando la risposta di introspection conteneva effettivamente una claim iss. Quando la claim era assente, il controllo veniva saltato anziché considerato un fallimento, quindi un token che l'emittente configurato non aveva emesso poteva essere accettato purché l'endpoint di introspection rispondesse senza specificare un issuer. Per raggiungere questa condizione, è necessario un endpoint di introspection che ometta iss e accetti token da più di un issuer, cosa che non è l'impostazione predefinita di Keycloak; pertanto, la gravità è bassa; dove questa configurazione esiste, la conseguenza è che il deployment autentica un chiamante che avrebbe dovuto essere rifiutato.

Aggiornare a Apache Camel 4.23.0, che risolve il problema. Gli utenti delle versioni LTS 4.18.x dovrebbero aggiornare a 4.18.5. Gli utenti delle versioni LTS 4.22.x dovrebbero aggiornare a 4.22.1. Una claim iss assente viene ora trattata come un fallimento di validazione piuttosto che come motivo per saltare il controllo. Per i deployment che non possono aggiornare immediatamente, assicurarsi che l'endpoint di introspection ritorni la claim iss e che serva esattamente un issuer.