vs gauge
区分
JVN番号
タイトル
JVN
深刻度
最終更新日
CVE番号
New
JVNDB-2026-022919

Apache Software FoundationのApache Camelにおけるセッション期限に関する脆弱性

9.8
2026/07/09 10:59
CVE-2026-46455
JVNDB-2026-022919
Apache Software FoundationのApache Camelにおけるセッション期限に関する脆弱性
概要
Apache CamelのKeycloakコンポーネントにおけるセッション有効期限が不十分である脆弱性です。camel-keycloakのセキュリティヘルパーであるKeycloakSecurityHelper.parseAndVerifyAccessTokenは、withChecks(...)メソッドを用いてKeycloakのTokenVerifierを構築しますが、設定されているのはsubject-existsチェックとrealm-URL（発行者）チェックのみです。TokenVerifier.withChecks(...)は初期状態で空のチェックリストにチェックを追加していく方式であり、withDefaultChecks()が呼ばれない限り上流のデフォルトチェックは適用されません。そのため、トークンのexp（有効期限）およびnbf（使用開始前）クレームを検証する組み込みのIS_ACTIVE述語が適用されません。結果として、このヘルパーはトークンの署名、subjectおよびissuerは検証しますが、トークンの有効期間を制御せず、有効期限切れまたはまだ有効でないアクセストークンを有効と認めてしまいます。したがって、このヘルパーを使用してインバウンドリクエストを認証するルートは、本来の有効期間外のアクセストークンを受け入れてしまう可能性があります。影響を受けるApache Camelのバージョンは4.18.0から4.18.3未満、4.19.0から4.21.0未満です。ユーザーにはこの問題を修正した4.21.0へのアップグレードを推奨します。4.18.x系のユーザーには4.18.3へのアップグレードを推奨します。修正により、KeycloakSecurityHelper.parseAndVerifyAccessTokenはTokenVerifier.IS_ACTIVEチェックを含むようになり、有効期限切れまたはまだ有効でないアクセストークンを拒否し、ヘルパーの挙動がKeycloakのデフォルトチェックセットと整合します。即時アップグレードが困難な環境では、ヘルパーの外側でトークンの有効期限を強制してください。例えば、ルート上でアクセストークンのexp/nbfクレームを検証し、Keycloakのアクセストークン有効期間を短く設定し、上流のゲートウェイやリソースサーバーでもトークンの有効期間検証を行うことを推奨します。
想定される影響と対策
・当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。 ・当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。 ・当該ソフトウェアが完全に停止する可能性があります。
ベンダ情報を参照して適切な対策を実施してください。
JVN情報　※( )内はCVSS v2の値
深刻度 9.8
CVECVE-2026-46455
公表日2026/07/06 00:00
登録日2026/07/09 10:59
更新日2026/07/09 10:59
CVSS v3情報
…
全ての情報を閲覧するにはユーザー登録（無料）またはログインが必要です。
新規登録
ログイン