CVE-2026-84181

Zusammenfassung

Schwachstelle durch unsachgemäße Authentifizierung in der Apache Camel Shiro-Komponente. Dieses Problem betrifft Apache Camel: von 4.0.0 bis vor 4.18.5, von 4.19.0 bis vor 4.22.1. Der Shiro-Sicherheitsprozessor übersprang die Überprüfung der Anmeldedaten, wenn das bereits an den aktuellen Thread gebundene Subjekt denselben Principal wie der eingehende Exchange aufwies. Da der Thread, der einen Camel-Exchange trägt, aus einem Pool entnommen und über Exchanges hinweg wiederverwendet wird, konnte ein von einem früheren authentifizierten Exchange hinterlassenes Subjekt die Prüfung für einen späteren Exchange erfüllen, der keine eigenen gültigen Anmeldedaten vorlegte. Das Passwort des eingehenden Exchanges wurde in diesem Fall nie überprüft. Die Bedingung hängt von der Thread-Wiederverwendung und der Übereinstimmung des Principals ab, weshalb sie nicht bei jeder Anfrage erreicht wird, erfordert aber vom Angreifer nichts weiter, als eine Anfrage zu senden, die einen Principal benennt, der aktiv in Verwendung ist. Führen Sie ein Upgrade auf Apache Camel 4.23.0 durch, das das Problem behebt. Benutzer des LTS-Release-Streams 4.18.x sollten auf 4.18.5 aktualisieren. Benutzer des LTS-Release-Streams 4.22.x sollten auf 4.22.1 aktualisieren. Der Prozessor überprüft nun die vorgelegten Anmeldedaten bei jedem Exchange, anstatt ein bereits an den Thread gebundenes Subjekt zu akzeptieren. Das Setzen von alwaysReauthenticate=false stellt das vorherige Verhalten für Bereitstellungen wieder her, die darauf angewiesen sind. Für Bereitstellungen, die nicht sofort aktualisiert werden können, stellen Sie sicher, dass das Shiro-Subjekt am Ende jedes Exchanges vom Thread entfernt wird, sodass kein Subjekt von einem späteren Exchange geerbt werden kann.

Quellen

• CVE-2026-84181PoC

  Lauffähiger Spring Boot- und Quarkus-Proof-of-Concept, der die Authentifizierungs-Umgehung von Apache Camel camel-shiro bei threadgebundenen Subjekten reproduziert, mit betroffenen und gepatchten Kontrollen.