CVE-2026-46455

Apache Camel Keycloak Komponentində qeyri-kafi sessiya müddətinin bitməsi zəifliyi. camel-keycloak təhlükəsizlik köməkçisi KeycloakSecurityHelper.parseAndVerifyAccessToken, withChecks(...) istifadə edərək yalnız subyektin mövcudluğu yoxlaması və realm-URL (issuer) yoxlaması ilə Keycloak TokenVerifier qurur. Keycloak-ın TokenVerifier.withChecks(...) metodu ilkin olaraq boş olan yoxlama siyahısına əlavə edir - yuxarı axından gələn standart yoxlamalar yalnız withDefaultChecks() çağırıldıqda quraşdırılır - buna görə də tokenin exp (bitmə) və nbf (əvvəl deyil) iddialarını doğrulayan daxili IS_ACTIVE predikatı heç vaxt tətbiq olunmur. Nəticədə köməkçi tokenin imzasını, subyektini və issuerini yoxlayır, lakin tokenin etibarlılıq pəncərəsini tətbiq etmir: müddəti bitmiş və ya hələ etibarlı olmayan access token etibarlı kimi qəbul edilir. Daxil olan sorğuların autentifikasiyası üçün bu köməkçiyə güvənən marşrutlar buna görə nəzərdə tutulan istifadə müddətindən kənarda olan access tokenləri qəbul edir. Bu problem Apache Camel-ə təsir edir: 4.18.0-dan 4.18.3-dən əvvəl, 4.19.0-dan 4.21.0-dan əvvəl. İstifadəçilərə problemi düzəldən 4.21.0 versiyasına yüksəltmə tövsiyə olunur. İstifadəçilər 4.18.x buraxılış seriyasındadırsa, onda 4.18.3-ə yüksəltmələri təklif olunur. Düzəliş KeycloakSecurityHelper.parseAndVerifyAccessToken-ın TokenVerifier.IS_ACTIVE yoxlamasını daxil etməsini təmin edir ki, müddəti bitmiş və ya hələ etibarlı olmayan access tokenlər rədd edilsin və köməkçi Keycloak-ın standart yoxlama dəstinə uyğunlaşdırılsın. Dərhal yüksəltmə imkanı olmayan yerləşdirmələr üçün tokenin müddətinin bitməsini köməkçidən kənarda tətbiq edin - məsələn, ona güvənməzdən əvvəl marşrutda access tokenin exp/nbf iddialarını doğrulayın, Keycloak access tokenlərinin istifadə müddətini qısa saxlayın və hər hansı yuxarı axın şlüzünün və ya resurs serverinin də tokenin etibarlılıq pəncərəsini doğruladığına əmin olun.