„`html
Zusammenfassung
CVE-2026-53913 ist eine kritische Authentifizierungslücke in der Apache Camel Keycloak Component. Die Schwachstelle ermöglicht es Angreifern, die KeycloakSecurityPolicy zu umgehen, indem beliebige Werte im Authorization Bearer Header akzeptiert werden – ohne dass eine kryptographische Validierung des Access Tokens stattfindet. Dies kann zu unauthentifiziertem Zugriff auf geschützte Ressourcen und im schlimmsten Fall zu Remote Code Execution führen.
Betroffene Systeme
Apache Camel Versionen:
- 4.15.0 bis 4.18.2
- 4.19.0 bis 4.20.x
Die Standardkonfiguration der KeycloakSecurityPolicy ist besonders anfällig, da requiredRoles und requiredPermissions standardmäßig leer sind.
Technische Details
Die Schwachstelle liegt in der KeycloakSecurityProcessor.beforeProcess() Methode. Obwohl diese drei Checks durchführt (Token-Präsenz, Rollen-Validierung, Berechtigungen-Validierung), findet die kryptographische Token-Verifikation ausschließlich innerhalb der Rollen- und Berechtigungs-Checks statt. In der Standardkonfiguration werden diese Checks übersprungen, wodurch die Signatur-, Aussteller- und Ablauf-Validierung komplett umgangen wird.
Ein Angreifer kann daher:
- Beliebige Strings im Authorization Header einfügen
- Manipulierte, unsignierte JWTs verwenden
- Die Keycloak-Verifikation vollständig umgehen
Empfohlene Massnahmen
Sofortmassnahmen:
- Upgrade auf Apache Camel 4.21.0 oder 4.18.3 durchführen
- Falls Upgrade nicht möglich: non-empty requiredRoles oder requiredPermissions konfigurieren
- allowTokenFromHeader auf false setzen, falls Token nicht aus Header erwartet wird
- Token-Verifikation auf Framework-Ebene implementieren
Bewertung
CVSS Score: 9.8 (Critical)
Angriffsvektor: Netzwerk
Authentifizierung erforderlich: Keine
Auswirkungen: Unkontrollierter Zugriff auf geschützte Funktionen und Daten
Diese Lücke erfordert sofortige Aufmerksamkeit, da sie in Standardkonfigurationen aktiv ist und zu kritischen Sicherheitsverletzungen führen kann.
„`