CVE-2026-95663: Token Scaduti Accettati in Apache Camel Keycloak

La CVE-2026-95663 è una vulnerabilità di Insufficient Session Expiration in Apache Camel (componente camel-keycloak). Quando token introspection è abilitato, il componente valida i token scaduti se rimangono cachati nel periodo di TTL del cache (60 secondi di default, fino a 600 secondi). Questo significa che un utente può continuare ad usare un token che è appena scaduto, conservando i ruoli e i permessi che aveva quando il token era ancora valido. La vulnerabilità colpisce Apache Camel dalla versione 4.16.0 fino a prima di 4.18.5 e dalla 4.19.0 fino a prima di 4.22.2.

La gravità è Medium (CVSS 4,8) perché non consente forgery di token né escalation di privilegi oltre quelli del token scaduto. La finestra temporale di validità errata è limitata dal cache TTL (60-600 secondi). Token introspection non è default, il che riduce l'impatto complessivo. Lo stato è verificato: CVE pubblicata 26 ottobre 2026; reproducer pubblico su GitHub dal 29 ottobre 2026 per Camel Spring Boot e Quarkus.

Per le organizzazioni che usano camel-keycloak, verificare se useTokenIntrospection=true è abilitato nel deployment. Se lo è, upgrade immediato è consigliato: versione 4.23.0 per nuovi deployment, versione 4.22.2 se su release 4.22.x, versione 4.18.5 se su 4.18.x. Le versioni precedenti (4.16.x, 4.17.x, 4.19.x-4.21.x) hanno raggiunto end-of-life: è necessario migrare a una versione supportata. Se non puoi aggiornare immediatamente, disabilita il cache impostando introspectionCacheEnabled=false, anche se questo riduce le prestazioni richiedendo validazione per ogni richiesta.