CVE-2026-53913

Apache Camel Keycloak komponentində Yanlış Autentifikasiya, Kritik Funksiya üçün Autentifikasiyanın Olmaması və Təhlükəsiz Şəkildə Xətaya Uğramama ("Failing Open") zəifliyi aşkar edilmişdir. camel-keycloak-un KeycloakSecurityPolicy hissəsi, ardıcıl olaraq üç yoxlama aparan KeycloakSecurityProcessor.beforeProcess() funksiyasını işlədərək marşrutu qoruyur: giriş tokeni olmayan sorğunu rədd edir, daha sonra — yalnız requiredRoles boş olmadıqda — rolları təsdiqləyir və — yalnız requiredPermissions boş olmadıqda — icazələri təsdiqləyir. Daşıyıcı giriş tokeninin faktiki kriptoqrafik doğrulanması (lokal JWT üçün imza, emitent və vaxtın bitməsi, yaxud token introspeksiyası üçün aktivlik statusu və emitent) münhasir olaraq həmin rol və icazə yoxlamaları daxilində yerinə yetirilir. KeycloakSecurityPolicy-də requiredRoles və requiredPermissions standart olaraq boş təyin edilir — bu sənədləşdirilmiş "Basic Setup"dır — buna görə də belə konfiqurasiya edilmiş marşrutda rol və icazə yoxlamaları ötürülür və nəticədə giriş tokeni heç vaxt təsdiqlənmir. Tokenin mövcudluğu yoxlaması hələ də çatışmayan tokeni rədd etsə də, etibarsız token qəbul edilir: Authorization: Bearer başlığındakı istənilən null olmayan dəyər — o cümlədən ixtiyari sətir və ya saxtalaşdırılmış, imzalanmamış JWT — siyasətdən keçir və sorğu heç bir imza, emitent və ya vaxt yoxlaması olmadan, həmçinin Keycloak-a sorğu göndərilmədən qorunan marşruta çatır. allowTokenFromHeader parametrinin standart olaraq true olması səbəbindən token daxil olan sorğu başlığından oxunur. Bu siyasətin tətbiq edilməsinin əsas səbəbi marşrutun server tərəfində işlər görməsidir, ona görə də bu yan keçmə həmin işlərə autentifikasiyasız girişlə nəticələnir; qorunan marşrut kodu icra edə bilən istehsalçıya yönləndirildiyi halda, bu, autentifikasiyasız uzaqdan kodun icrasına səbəb ola bilər. Bu qüsur CVE-2026-23552-dən asılı olmayaraq mövcuddur: həmin problem emitent iddiası ilə bağlı idi və doğrulama proseduru daxilinə yoxlama əlavə edilməklə düzəldildi, lakin burada standart konfiqurasiyada doğrulama proseduruna ümumiyyətlə çatılmadığı üçün qüsur qalmaqdadır. Bu problem Apache Camel-in aşağıdakı versiyalarına təsir edir: 4.15.0-dan 4.18.3-ə qədər, 4.19.0-dan 4.21.0-a qədər. İstifadəçilərə problemi aradan qaldıran 4.21.0 versiyasına yeniləmək tövsiyə olunur. Əgər istifadəçilər 4.18.x versiya axınındadırsa, 4.18.3 versiyasına yeniləmələri məsləhətdir. Dərhal yenilənməsi mümkün olmayan sistemlər üçün hər bir KeycloakSecurityPolicy-də tokenin təsdiqi yolunun işləməsi üçün boş olmayan requiredRoles və ya requiredPermissions konfiqurasiya etmək, tokenin sorğu başlığından gözlənilmədiyi hallarda allowTokenFromHeader parametrini false təyin etmək və ya token təsdiqini siyasətdən əvvəl freymvork səviyyəsində yerinə yetirmək tövsiyə olunur.