CVE-2026-95663

Nome do Software Vulnerável e Versões Afetadas Apache Camel versões 4.16.0 até 4.18.4 Apache Camel versões 4.19.0 até 4.22.1

Description Uma expiração de sessão insuficiente no componente Keycloak do Apache Camel ocorre quando a introspecção de token está habilitada via useTokenIntrospection=true. O KeycloakSecurityProcessor valida tokens de acesso consultando o endpoint de introspecção de token OAuth 2.0 do Keycloak. Por padrão, os resultados são armazenados em cache usando ConcurrentMapTokenCache ou CaffeineTokenCache com base na configuração introspectionCacheTtl. Esses caches expiram as entradas após um período fixo, sem considerar a reivindicação exp (expiração) do token. Consequentemente, um token que expira logo após ser armazenado em cache pode ainda ser aceito como ativo até que a entrada do cache expire, permitindo que requisições sejam admitidas com as funções e permissões do token expirado. Este comportamento viola a RFC 7662, que proíbe o cache de respostas de introspecção além do tempo exp. Este problema afeta apenas o caminho de introspecção e não impacta a verificação local de JWT.

Recommendations Atualize para a versão 4.23.0. Para o fluxo 4.22.x, atualize para 4.22.2. Para o fluxo 4.18.x, atualize para 4.18.5. Para as versões 4.16.x, 4.17.x e 4.19.0 até 4.21.x, migre para uma versão suportada, pois estas atingiram o fim da vida útil. Como solução temporária, defina introspectionCacheEnabled=false na KeycloakSecurityPolicy para garantir que cada requisição seja validada diretamente no endpoint de introspecção.