Apache Camel: unzureichender Sitzungsablauf (CVE-2026-46455)

Was ist betroffen, was ist zu tun

Sicherheitslücke durch unzureichende Sitzungsablaufzeit im Apache Camel Keycloak-Komponente. Der camel-keycloak-Sicherheitshilfe-KeycloakSecurityHelper.parseAndVerifyAccessToken erstellt einen Keycloak TokenVerifier mit withChecks(...), der nur die Prüfung auf das Vorhandensein des Subjekts und die Überprüfung der Realm-URL (Aussteller) durchführt.

Ein Exploit ist öffentlich verfügbar. Aktualisieren Sie Apache Camel auf Version 4.18.3, Apache Camel auf Version 4.21.0.

Betroffen

• Apache Camel lt 4.18.0..4.18.3
• Apache Camel lt 4.19.0..4.21.0

Behoben in

• Apache Camel 4.18.3
• Apache Camel 4.21.0

Unklar, ob und wie Sie betroffen sind? Frage zu dieser Schwachstelle stellen

Metriken

Erkennungsregeln

Für diese Schwachstelle liegt noch keine NEOSEC-Erkennungsregel vor.

Einordnung nach NIS2 und CRA

Regelbasierte Einordnung aus Ausnutzungsstatus und Schweregrad. Sie ersetzt keine Prüfung im Einzelfall.

NIS2

NIS2 ist die EU-Richtlinie (EU) 2022/2555 zur Erhöhung des Cybersicherheitsniveaus in der Union. Sie weitet Pflichten gegenüber der ersten NIS-Richtlinie deutlich aus: mehr Sektoren, verbindliches Risikomanagement, gestufte Meldepflichten und persönliche Verantwortung der Geschäftsleitung.

Im Glossar lesen

Hohe technische Schwere: Bewerten und beheben Sie die Schwachstelle im Schwachstellenmanagement nach Art. 21 Abs. 2 lit. e NIS2 und dokumentieren Sie die Entscheidung.

CRA

Der CRA ist die EU-Verordnung (EU) 2024/2847 mit horizontalen Cybersicherheitsanforderungen an „Produkte mit digitalen Elementen“ — von Industriesteuerungen über Software bis zu vernetzten Verbrauchergeräten. Erstmals müssen Hersteller Sicherheit über den gesamten Produktlebenszyklus gewährleisten, Schwachstellen behandeln und Sicherheitsupdates bereitstellen.

Im Glossar lesen

Ab dem 11.12.2027 verpflichtet Anhang I Teil II CRA Hersteller betroffener Produkte mit digitalen Elementen, Schwachstellen unverzüglich zu behandeln und Sicherheitsupdates bereitzustellen.

ISO/IEC 27001

ISO/IEC 27001 ist der international führende Standard für ein Informationssicherheits-Managementsystem (ISMS). Er beschreibt einen risikobasierten, prozessorientierten Rahmen, um Informationssicherheit systematisch zu planen, umzusetzen, zu überprüfen und zu verbessern.

Im Glossar lesen

Maßnahme A.8.8, Management technischer Schwachstellen: Relevanz für Ihre Systeme bewerten, Behebung einplanen und nachweisen.

Beschreibung

Sicherheitslücke durch unzureichende Sitzungsablaufzeit im Apache Camel Keycloak-Komponente. Der camel-keycloak-Sicherheitshilfe-KeycloakSecurityHelper.parseAndVerifyAccessToken erstellt einen Keycloak TokenVerifier mit withChecks(...), der nur die Prüfung auf das Vorhandensein des Subjekts und die Überprüfung der Realm-URL (Aussteller) durchführt. Keycloaks TokenVerifier.withChecks(...) fügt einer anfänglich leeren Prüfliste hinzu - die Standardüberprüfungen werden nur installiert, wenn withDefaultChecks() aufgerufen wird -, sodass das eingebaute IS_ACTIVE-Predikat, welches die exp (Ablaufzeit) und nbf (nicht vor) Ansprüche des Tokens validiert, nie angewendet wird. Daher überprüft der Hilfsprogramm zwar die Token-Signatur, das Subjekt und den Aussteller, erzwingt jedoch nicht das Gültigkeitsfenster des Tokens: Ein abgelaufenes Zugriffstoken oder eines, das noch nicht gültig ist, wird als gültig akzeptiert. Routen, die auf diesen Hilfsprogramm zur Authentifizierung eingehender Anfragen vertrauen, akzeptieren daher Zugriffstokens außerhalb ihrer beabsichtigten Lebensdauer. Dieses Problem betrifft Apache Camel: von Version 4.18.0 bis einschließlich 4.18.2 und von Version 4.19.0 bis einschließlich 4.20.0. Benutzer werden empfohlen, auf Version 4.21.0 zu aktualisieren, die das Problem behebt. Benutzer, die sich im Veröffentlichungsstrom der 4.18.x-Versionen befinden, sollten auf Version 4.18.3 aktualisieren. Die Korrektur sorgt dafür, dass KeycloakSecurityHelper.parseAndVerifyAccessToken den TokenVerifier.IS_ACTIVE-Check einschließt, sodass abgelaufene oder noch nicht gültige Zugriffstokens abgelehnt werden und der Hilfsprogramm mit dem Standardüberprüfungsset von Keycloak übereinstimmt. Für Bereitstellungen, die sich nicht sofort aktualisieren können, sollte die Tokenablaufzeit außerhalb des Hilfsprogramms durchgesetzt werden - zum Beispiel sollten die exp/nbf-Ansprüche des Zugriffstokens in der Route vor dem Vertrauen darauf überprüft werden, sollten die Lebensdauer von Keycloak-Zugriffstokens kurz gehalten und sichergestellt werden, dass jedes upstream Gateway oder Ressourcenserver das Gültigkeitsfenster des Tokens validiert.

Quelle: NVD (NIST), OSV (Open Source Vulnerabilities), cvelistv5, BSI WID Portal, BSI CSAF

Hersteller und Produkte

• Apache Software Foundation Apache Camel
• Apache Software Foundation Apache Camel

Weakness-Klassen (CWE)

• CWE-613Insufficient Session Expiration

  Base

  According to WASC, "Insufficient Session Expiration is when a web site permits an attacker to reuse old session credentials or session IDs for authorization."

  Eintrag bei MITRE CWE-613

Quellen & Referenzen

• NVD (NIST)vuln/detail/CVE-2026-46455advisory
• github.comapache/camel/pull/23197web
• github.comapache/camel/pull/23204web
• github.comapache/camel/commit/39133b1ada37c60dea53f3b7db720dbd2ae73fa6web
• github.comapache/camel/commit/7f4c4736021aff4fad925eca3bf456b95db038f3web
• camel.apache.orgsecurity/CVE-2026-46455.htmlweb, Herstellerhinweis, Mitigation, Herstellerhinweis
• github.comapache/camelpackage
• github.comapache/camel/releases/tag/camel-4.18.3web
• github.comapache/camel/releases/tag/camel-4.21.0web
• issues.apache.orgjira/browse/CAMEL-23504web
• openwall.comlists/oss-security/2026/07/05/8web, Mailingliste, Hinweis Dritter

Änderungen an der CVE

Wer diese CVE wann geändert hat: die NVD (Analyse, betroffene Produkte, CVSS), der Herausgeber der CVE (CNA) und ergänzende Stellen wie CISA (ADP).

1. 08.07.2026Erstanalyse durch die NVDNVD

   Neu als betroffen eingetragen:

   • Apache Software Foundation Apache Camel (4.19.0 – vor 4.21.0; 4.18.0 – vor 4.18.3)

   Neue Referenzen:

   • https://camel.apache.org/security/CVE-2026-46455.html
   • http://www.openwall.com/lists/oss-security/2026/07/05/8
   3 Einzeländerungen im Original anzeigen

   Einzeländerungen dieses Ereignisses im Original der NVD

   Art	Aktion	Vorher	Nachher
   Produktkonfiguration	ergänzt	—	OR *cpe:2.3:a:apache:camel:*:*:*:*:*:*:*:* versions from (including) 4.19.0 up to (excluding) 4.21.0 *cpe:2.3:a:apache:camel:*:*:*:*:*:*:*:* versions from (including) 4.18.0 up to (excluding) 4.18.3
   Referenztyp	ergänzt	—	Apache Software Foundation: https://camel.apache.org/security/CVE-2026-46455.html Types: Mitigation, Vendor Advisory
   Referenztyp	ergänzt	—	CVE: http://www.openwall.com/lists/oss-security/2026/07/05/8 Types: Mailing List, Third Party Advisory

   Kennung der Quelle: nvd@nist.gov

2. 06.07.2026Eintrag geändertCISA ADP

   CVSS V3.1: AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

   CISA-Einschätzung (SSVC): Ausnutzung: keine bekannt, automatisierbar: ja

   2 Einzeländerungen im Original anzeigen

   Einzeländerungen dieses Ereignisses im Original der NVD

   Art	Aktion	Vorher	Nachher
   CVSS	ergänzt	—	AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
   SSVC-Einschätzung	ergänzt	—	{"id":"CVE-2026-46455","role":"CISA Coordinator","options":[{"exploitation":"none"},{"automatable":"yes"},{"technicalImpact":"total"}],"version":"2.0.3","timestamp":"2026-07-06T19:29:09.924590Z"}

   Kennung der Quelle: 134c704f-9b21-4f2e-91b3-4a467353bcc0

3. 06.07.2026Eintrag geändertCVE Program

   Neue Referenzen:

   • http://www.openwall.com/lists/oss-security/2026/07/05/8
   Einzeländerung im Original anzeigen

   Einzeländerungen dieses Ereignisses im Original der NVD

   Art	Aktion	Vorher	Nachher
   Referenz	ergänzt	—	http://www.openwall.com/lists/oss-security/2026/07/05/8

   Kennung der Quelle: af854a3a-2127-422b-91ae-364da2661108

4. 06.07.2026Neu erfasstApache

   Schwachstellentyp: CWE-613

   Beschreibung erfasst oder geändert

   Neue Referenzen:

   • https://camel.apache.org/security/CVE-2026-46455.html
   4 Einzeländerungen im Original anzeigen

   Einzeländerungen dieses Ereignisses im Original der NVD

   Art	Aktion	Vorher	Nachher
   Betroffene Versionen (Herausgeber)	ergänzt	—	Apache Camel
   Beschreibung	ergänzt	—	Insufficient Session Expiration vulnerability in Apache Camel Keycloak Component. The camel-keycloak security helper KeycloakSecurityHelper.parseAndVerifyAccessToken builds a Keycloak TokenVerifier using withChecks(...) with only the subject-exists check and the realm-URL (issuer) check. Keycloak's TokenVerifier.withChecks(...) appends to an initially empty check list - the upstream default checks are installed only when withDefaultChecks() is called - so the built-in IS_ACTIVE predicate, which validates the token's exp (expiration) and nbf (not-before) claims, is never applied. As a result the helper verifies the token signature, subject and issuer but does not enforce the token's validity window: an access token that is expired, or not yet valid, is accepted as valid. Routes that rely on this helper to authenticate inbound requests therefore accept access tokens that are outside their intended lifetime. This issue affects Apache Camel: from 4.18.0 before 4.18.3, from 4.19.0 before 4.21.0. Users are recommended to upgrade to version 4.21.0, which fixes the issue. If users are on the 4.18.x releases stream, then they are suggested to upgrade to 4.18.3. The fix makes KeycloakSecurityHelper.parseAndVerifyAccessToken include the TokenVerifier.IS_ACTIVE check so that expired or not-yet-valid access tokens are rejected, aligning the helper with Keycloak's default check set. For deployments that cannot upgrade immediately, enforce token expiration outside the helper - for example validate the access token's exp/nbf claims in the route before trusting it, keep Keycloak access-token lifetimes short, and ensure any upstream gateway or resource server also validates the token validity window.
   Schwachstellentyp (CWE)	ergänzt	—	CWE-613
   Referenz	ergänzt	—	https://camel.apache.org/security/CVE-2026-46455.html

   Kennung der Quelle: security@apache.org

Eine Übersetzung der NVD in eine andere Sprache ist ausgeblendet.

Verknüpfte Advisories

• @RISK®: The Consensus Security Vulnerability Alert: Vol. 26, Num. 26SANS @RISK09.07.2026