CVE-2026-66908

Apache Camel Platform HTTP Main komponentində düzgün olmayan autentifikasiya zəifliyi. Bu problem Apache Camel-ə aiddir: 4.8.0-dan 4.22.0-dan əvvələ qədər. camel-main daxili HTTP serveri öz endpointlərini JWT autentifikasiyası ilə qoruya bilər və bu, authenticationEnabled parametri ilə birlikdə JWT keystore xassələri vasitəsilə konfiqurasiya olunur. JWTAuthenticationConfigurer.buildJwtOptions nə jwtIssuer, nə də jwtAudience konfiqurasiya edilmədikdə null qaytarırdı və çağıran tərəf sonra JWTAuthOptions.setJWTOptions çağırışını tamamilə atlayırdı, beləliklə Vert.x JWTAuth instansı yalnız keystore əsasında qurulurdu. Nəticədə daxil olan tokenlər yalnız imza və etibarlılıq müddəti baxımından yoxlanılırdı: iss və aud claim-ləri heç yoxlanılmırdı. Buna heç nə işarə etmirdi - server normal işə düşür və heç bir xəbərdarlıq vermirdi - beləliklə sənədləşdirilmiş qaydada konfiqurasiya edilmiş quraşdırma operatorun hesab etdiyindən daha az məhdudiyyət tətbiq edirdi və komponentin sənədləri özü imza və etibarlılıq müddətinin yoxlanılmasını standart, issuer və audience-i isə əlavə seçim kimi təqdim edirdi. Həm tətbiq serveri, həm də idarəetmə serveri təsirlənmişdi, çünki buraxılış iki configureAuthentication yolunun hər birində idi. Buna görə konfiqurasiya edilmiş keystore-un etibar etdiyi hər hansı açarla imzalanmış istənilən etibarlılıq müddəti bitməmiş token, onu hansı issuer-in verdiyindən və hansı audience üçün nəzərdə tutulduğundan asılı olmayaraq qəbul edilirdi. Bunun nə qədər geniş əhatə etməsi keystore-un etibar çoxluğundan asılıdır: imzalama açarı paylaşılan və ya çoxkirayəçili identity provider-a aid olduqda, tamamilə fərqli audience üçün qanuni şəkildə verilmiş token qəbul edilir, ayrılmış imzalayıcı saxlayan keystore isə bunu eyni etibar domenində digər xidmətlər üçün verilmiş tokenlərin təkrar istifadəsi ilə məhdudlaşdırır. jwtIssuer və jwtAudience seçimləri 4.21.0-dan əvvəl mövcud deyildi, buna görə əvvəlki buraxılışlarda bu claim-lərin ümumiyyətlə tətbiq edilməsinin dəstəklənən yolu yox idi. İstifadəçilərə problemi düzəldən 4.22.0 versiyasına yüksəltmə tövsiyə olunur. 4.22.0-dan etibarən JWT keystore konfiqurasiya edildikdə, lakin nə jwtIssuer, nə də jwtAudience təyin edilmədikdə server işə düşməkdən imtina edir və aidiyyəti xassələrin adlarını göstərir, yalnız imza və etibarlılıq müddətinin yoxlanılmasını həqiqətən istəyən quraşdırma isə bunu standart olaraq false olan yeni jwtAllowMissingIssuerAndAudience seçimi ilə açıq şəkildə bildirməlidir. Bu davranış yalnız 4.22.0-da düzəldilib. 4.14.9 və 4.18.4 buraxılışları standartı dəyişmir: onlar jwtIssuer və jwtAudience seçimlərini əlavə edir ki, həmin texniki xidmət xətlərindəki operatorlar claim-ləri konfiqurasiya vasitəsilə tətbiq edə bilsinlər və bu iki xassədən ən azı birini təyin etmədən 4.14.9 və ya 4.18.4-ə yüksəldən quraşdırma hələ də etibarlı açarla imzalanmış istənilən etibarlılıq müddəti bitməmiş tokeni qəbul edir. Buna görə 4.14.x və ya 4.18.x istifadəçiləri 4.14.9 və ya 4.18.4-ə yüksəltməli və sonra jwtIssuer, jwtAudience və ya hər ikisini təyin etməlidirlər. 4.8.0-dan 4.21.x daxil olmaqla buraxılışlar bu claim-ləri tətbiq etməyin heç bir yolunu təklif etmir və bunu edən versiyaya keçirilməlidir. Versiyadan asılı olmayaraq, JWT keystore-u mümkün olan ən kiçik etibar çoxluğu ilə məhdudlaşdırın - ideal olaraq paylaşılan identity provider açarı deyil, bu xidmətə ayrılmış imzalayıcı - və şlüz serverin qarşısında artıq issuer və audience-i yoxlayırsa, onun yan keçilə bilmədiyinə əmin olun. Qeydlər: JIRA bileti: https://issues.apache.org/jira/browse/CAMEL-24281 problemi həll edən müxtəlif commit-lərə istinad edir və daha ətraflı məlumat verir. Fail-closed qoruyucusu geriyə köçürülə bilmədi. jwtIssuer və jwtAudience seçimləri özləri yalnız CAMEL-23525 tərəfindən 4.21.0-da təqdim edilmişdi, buna görə camel-4.18.x və camel-4.14.x üzərində operatorun tələbi ödəmək üçün təyin edə biləcəyi heç nə yox idi və qoruyucu həmin budaqlarda hər JWT quraşdırmasını heç bir düzəliş imkanı olmadan pozardı.