JVNDB-2026-022919

Apache Software FoundationのApache Camelにおけるセッション期限に関する脆弱性

Apache CamelのKeycloakコンポーネントにおけるセッション有効期限が不十分である脆弱性です。camel-keycloakのセキュリティヘルパーであるKeycloakSecurityHelper.parseAndVerifyAccessTokenは、withChecks(...)メソッドを用いてKeycloakのTokenVerifierを構築しますが、設定されているのはsubject-existsチェックとrealm-URL（発行者）チェックのみです。TokenVerifier.withChecks(...)は初期状態で空のチェックリストにチェックを追加していく方式であり、withDefaultChecks()が呼ばれない限り上流のデフォルトチェックは適用されません。そのため、トークンのexp（有効期限）およびnbf（使用開始前）クレームを検証する組み込みのIS_ACTIVE述語が適用されません。結果として、このヘルパーはトークンの署名、subjectおよびissuerは検証しますが、トークンの有効期間を制御せず、有効期限切れまたはまだ有効でないアクセストークンを有効と認めてしまいます。したがって、このヘルパーを使用してインバウンドリクエストを認証するルートは、本来の有効期間外のアクセストークンを受け入れてしまう可能性があります。影響を受けるApache Camelのバージョンは4.18.0から4.18.3未満、4.19.0から4.21.0未満です。ユーザーにはこの問題を修正した4.21.0へのアップグレードを推奨します。4.18.x系のユーザーには4.18.3へのアップグレードを推奨します。修正により、KeycloakSecurityHelper.parseAndVerifyAccessTokenはTokenVerifier.IS_ACTIVEチェックを含むようになり、有効期限切れまたはまだ有効でないアクセストークンを拒否し、ヘルパーの挙動がKeycloakのデフォルトチェックセットと整合します。即時アップグレードが困難な環境では、ヘルパーの外側でトークンの有効期限を強制してください。例えば、ルート上でアクセストークンのexp/nbfクレームを検証し、Keycloakのアクセストークン有効期間を短く設定し、上流のゲートウェイやリソースサーバーでもトークンの有効期間検証を行うことを推奨します。

Apache Software Foundation

• Apache Camel 4.18.0 以上 4.18.3 未満
• Apache Camel 4.19.0 以上 4.21.0 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
・当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
・当該ソフトウェアが完全に停止する可能性があります。

ベンダ情報を参照して適切な対策を実施してください。

Apache Software Foundation

• Apache Camel : Apache Camel Security Advisory - CVE-2026-46455 - Apache Camel

Openwall

• Openwall mailing list archives : oss-security - CVE-2026-46455: Apache Camel: Camel-Keycloak: The access-token validity window is not verified because the IS_ACTIVE check is missing from the TokenVerifier, allowing expired tokens to be accepted

1. 不適切なセッション期限(CWE-613) [その他]

1. CVE-2026-46455

1. National Vulnerability Database (NVD) : CVE-2026-46455

• [2026年07月09日]
    掲載