CVE-2026-84181

Resumen

Vulnerabilidad de autenticación incorrecta en el componente Apache Camel Shiro. Este problema afecta a Apache Camel: desde 4.0.0 antes de 4.18.5, desde 4.19.0 antes de 4.22.1. El procesador de seguridad Shiro omitía la verificación de credenciales cuando el sujeto ya vinculado al hilo actual llevaba el mismo principal que el exchange entrante. Dado que el hilo que transporta un exchange de Camel se toma de un pool y se reutiliza entre exchanges, un sujeto que quedó vinculado por un exchange autenticado anterior podía satisfacer la comprobación para uno posterior que no presentaba credenciales válidas propias. En ese caso, la contraseña del exchange entrante nunca se verificaba. La condición depende de la reutilización de hilos y de que el principal coincida, por lo que no se alcanza en todas las solicitudes, pero no exige nada al atacante más allá de enviar una solicitud que nombre un principal que esté en uso activo. Actualice a Apache Camel 4.23.0, que corrige el problema. Los usuarios de la rama de versiones LTS 4.18.x deben actualizar a 4.18.5. Los usuarios de la rama de versiones LTS 4.22.x deben actualizar a 4.22.1. El procesador ahora verifica las credenciales presentadas en cada exchange en lugar de aceptar un sujeto ya vinculado al hilo. Establecer alwaysReauthenticate=false restaura el comportamiento anterior para las implementaciones que dependen de él. Para las implementaciones que no pueden actualizar de inmediato, asegúrese de que el sujeto de Shiro se borre del hilo al final de cada exchange para que ningún sujeto pueda ser heredado por uno posterior.

Fuentes

• CVE-2026-84181PoC

  Prueba de concepto ejecutable en Spring Boot y Quarkus que reproduce el bypass de autenticación thread-bound-subject de Apache Camel camel-shiro, con controles afectados y parcheados.