CVE-2026-53913

Apache Camel Keycloak bileşeninde Hatalı Kimlik Doğrulama, Kritik Fonksiyon için Eksik Kimlik Doğrulama ve Güvenli Şekilde Başarısız Olmama ('Failing Open') zafiyeti bulunmaktadır. camel-keycloak içerisindeki KeycloakSecurityPolicy, üç kontrolü sırasıyla gerçekleştiren KeycloakSecurityProcessor.beforeProcess() metodunu çalıştırarak bir rotayı korur: erişim belirteci (access token) taşımayan istekleri reddeder, ardından -yalnızca requiredRoles boş değilse- rolleri doğrular ve -yalnızca requiredPermissions boş değilse- izinleri doğrular. Taşıyıcı erişim belirtecinin gerçek kriptografik doğrulaması (yerel bir JWT için imza, yayıncı ve son kullanma tarihi veya belirteç iç gözlemi için aktif durum ve yayıncı), yalnızca bu rol ve izin kontrollerinin içinde gerçekleştirilir. KeycloakSecurityPolicy, dokümante edilmiş 'Temel Kurulum' gereği requiredRoles ve requiredPermissions değerlerini varsayılan olarak boş tanımlar; bu şekilde yapılandırılmış bir rotada rol ve izin kontrolleri atlanır ve dolayısıyla erişim belirteci hiçbir zaman doğrulanmaz. Belirteç varlığı kontrolü eksik olan belirteçleri hala reddetmeye devam eder ancak geçersiz bir belirteç kabul edilir: Authorization: Bearer başlığındaki herhangi bir null olmayan değer -rastgele bir dize veya sahte, imzalanmamış bir JWT dahil- politikadan geçer ve istek; imza, yayıncı veya son kullanma tarihi kontrolü yapılmadan ve Keycloak'a herhangi bir istek gönderilmeden korunan rotaya ulaşır. allowTokenFromHeader varsayılan olarak true olduğu için belirteç gelen istek başlığından okunur. Bir rotanın bu politika arkasına yerleştirilmesinin normal nedeni rotanın sunucu tarafında işlem yapması olduğundan, bu atlama söz konusu işlemlere kimlik doğrulaması yapılmamış erişime yol açar; korunan rota kod yürütme yeteneğine sahip bir üreticiye yönlendiriliyorsa, bu durum kimlik doğrulaması yapılmamış uzaktan kod çalıştırmaya neden olabilir. Bu kusur CVE-2026-23552'den bağımsızdır: o sorun yayıncı beyanıyla ilgiliydi ve doğrulama rutinine bir kontrol eklenerek düzeltilmişti, ancak burada varsayılan yapılandırmada doğrulama rutinine hiç ulaşılamadığından kusur devam etmektedir. Bu sorun şu Apache Camel sürümlerini etkilemektedir: 4.15.0 ile 4.18.3 arası ve 4.19.0 ile 4.21.0 arası. Kullanıcıların sorunu gideren 4.21.0 sürümüne yükseltmeleri önerilir. Eğer kullanıcılar 4.18.x sürüm akışındaysa, 4.18.3 sürümüne yükseltmeleri tavsiye edilir. Hemen yükseltme yapamayan dağıtımlar için, belirteç doğrulama yolunun işletilmesi amacıyla her KeycloakSecurityPolicy üzerinde boş olmayan bir requiredRoles veya requiredPermissions yapılandırılması, belirtecin istek başlığından beklenmediği durumlarda allowTokenFromHeader değerinin false olarak ayarlanması veya politikanın öncesinde çerçeve katmanında belirteç doğrulaması yapılması önerilir.