CVE-2026-84181

ملخص

ثغرة المصادقة غير السليمة في مكوّن Apache Camel Shiro. تؤثر هذه المشكلة على Apache Camel: من 4.0.0 قبل 4.18.5، ومن 4.19.0 قبل 4.22.1. كان معالج أمان Shiro يتخطى التحقق من بيانات الاعتماد عندما كان الكيان (subject) المرتبط بالفعل بالخيط الحالي (thread) يحمل نفس الـ principal الخاص بالتبادل (exchange) الوارد. ولأن الخيط الذي يحمل تبادل Camel يُسحب من مجموعة (pool) ويُعاد استخدامه عبر التبادلات، فقد كان بإمكان كيان تُرك مرتبطًا بتبادل مُصادَق عليه سابقًا أن يجتاز الفحص لتبادل لاحق لم يقدّم أي بيانات اعتماد صالحة خاصة به. وفي هذه الحالة، لم يتم التحقق من كلمة المرور على التبادل الوارد مطلقًا. يعتمد هذا الشرط على إعادة استخدام الخيوط وعلى تطابق الـ principal، ولهذا لا يتحقق في كل طلب، لكنه لا يتطلب من المهاجم سوى إرسال طلب يسمّي principal قيد الاستخدام النشط. قم بالترقية إلى Apache Camel 4.23.0، الذي يصلح المشكلة. يجب على المستخدمين على سلسلة إصدارات الدعم طويل الأمد 4.18.x الترقية إلى 4.18.5. ويجب على المستخدمين على سلسلة إصدارات الدعم طويل الأمد 4.22.x الترقية إلى 4.22.1. أصبح المعالج الآن يتحقق من بيانات الاعتماد المقدَّمة في كل تبادل بدلًا من قبول كيان مرتبط بالفعل بالخيط. يؤدي ضبط alwaysReauthenticate=false إلى استعادة السلوك السابق للعمليات المنشورة التي تعتمد عليه. بالنسبة للعمليات المنشورة التي لا يمكنها الترقية فورًا، تأكد من مسح كيان Shiro من الخيط في نهاية كل تبادل حتى لا يرث أي تبادل لاحق أي كيان.

المصادر

• CVE-2026-84181PoC

  نموذج إثبات مفهوم قابل للتشغيل بـ Spring Boot وQuarkus يعيد إنتاج تجاوز المصادقة thread-bound-subject في Apache Camel camel-shiro، مع عناصر تحكم متأثرة وأخرى مُرقّعة.