JVNDB-2026-030940 | |
Apache Software FoundationのApache Camelにおける認証に関する脆弱性 | |
| 概要 | |
Apache Camel Platform HTTP Mainコンポーネントにおける不適切な認証の脆弱性があります。この問題はApache Camelのバージョン4.8.0から4.22.0未満に影響を与えます。camel-mainの埋め込みHTTPサーバーは、authenticationEnabledおよびJWTキーストアプロパティにより構成されるJWT認証でエンドポイントを保護できます。JWTAuthenticationConfigurer.buildJwtOptionsはjwtIssuerおよびjwtAudienceがどちらも設定されていない場合にnullを返し、その呼び出し元はJWTAuthOptions.setJWTOptionsの呼び出しを完全にスキップしていました。そのため、Vert.xのJWTAuthインスタンスはキーストアのみから構築されました。その結果、受信したトークンは署名と有効期限のみがチェックされ、issおよびaudクレームはまったく検証されませんでした。このことを示すものはなく、サーバーは正常に起動し警告も報告しなかったため、ドキュメント通りの構成でも実際にはオペレーターが意図していたよりも緩い制限が静かに適用されていました。コンポーネントのドキュメント自体も、署名と有効期限の検査をデフォルトとして扱い、issuerとaudienceはオプションの追加機能として記載していました。これはアプリケーションサーバーと管理サーバーの両方に影響を与え、2つのconfigureAuthenticationパスのいずれにもこの抜けがありました。その結果、設定されたキーストアが信頼する任意のキーで署名された期限切れでないトークンは、発行者や対象audienceに関係なく受け入れられました。範囲はキーストアの信頼セットに依存し、共有またはマルチテナントのIDプロバイダーのキーで署名された場合、全く異なるaudience向けに正当に発行されたトークンも受け入れられます。一方、専用の署名者が格納されるキーストアでは、同じ信頼ドメイン内の他のサービス用に発行されたトークンの再利用に限定されます。jwtIssuerおよびjwtAudienceオプションは4.21.0以前には存在せず、それ以前のリリースではこれらのクレームを強制する方法はサポートされていませんでした。ユーザーにはこの問題を修正したバージョン4.22.0へのアップグレードが推奨されます。4.22.0以降ではJWTキーストアが設定されているのにjwtIssuerもjwtAudienceも設定されていない場合、関係するプロパティ名を示してサーバー起動を拒否します。署名と有効期限のみの検証を意図する展開は、新しいjwtAllowMissingIssuerAndAudienceオプション（デフォルトはfalse）で明示的に指定する必要があります。この動作は4.22.0でのみ修正されています。4.14.9および4.18.4リリースはデフォルトは変更せず、jwtIssuerおよびjwtAudienceオプションを追加することでこれらのメンテナンスラインの運用者が設定によりクレームを強制可能にしました。したがって4.14.9や4.18.4にアップグレードしても、これら2つのプロパティのいずれかを設定しなければ依然として信頼されたキーで署名された任意の期限切れでないトークンを受け入れます。4.14.xや4.18.x系のユーザーは4.14.9や4.18.4にアップグレード後、jwtIssuer、jwtAudienceまたは両方を設定すべきです。4.8.0から4.21.xまでのリリースはこれらのクレームを強制する手段がなく、強制可能なバージョンに移行すべきです。バージョンにかかわらず、JWTキーストアは可能な限り狭い信頼セットに制限し、理想的には共有のIDプロバイダキーではなくこのサービス専用の署名者に限定してください。またゲートウェイで既にissuerおよびaudienceの検証を行っている場合は、バイパスできないようにしてください。なお、JIRAチケット https://issues.apache.org/jira/browse/CAMEL-24281 は問題を解決した各コミットを参照しており、詳細を掲載しています。fail-closedガードはバックポートされていません。jwtIssuerおよびjwtAudienceオプション自体は4.21.0のCAMEL-23525で初めて導入されたため、camel-4.18.xおよびcamel-4.14.xではオペレーターが要件を満たすために設定可能なものがなく、ガードはこれらのブランチのJWT展開すべてを妨げてしまい回復手段もありませんでした。 | |
| CVSS による深刻度 (CVSS とは?) | |
|
CVSS v3 による深刻度
基本値: 7.5 (重要) [その他]
| |
| 影響を受けるシステム | |
|
| |
Apache Software Foundation | |
本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。 | |
| 想定される影響 | |
・当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。 | |
| 対策 | |
ベンダ情報を参照して適切な対策を実施してください。 | |
| ベンダ情報 | |
Apache Software Foundation Openwall | |
| CWEによる脆弱性タイプ一覧 CWEとは? | |
| |
| 共通脆弱性識別子(CVE) CVEとは? | |
|
| |
| 参考情報 | |
| |
| 更新履歴 | |
|
| 公表日 | 2026/08/24 |
| 登録日 | 2026/08/31 |
| 最終更新日 | 2026/08/31 |
