CVE-2026-84181

Résumé

Vulnérabilité d'authentification incorrecte dans le composant Apache Camel Shiro. Ce problème affecte Apache Camel : de 4.0.0 avant 4.18.5, de 4.19.0 avant 4.22.1. Le processeur de sécurité Shiro ignorait la vérification des identifiants lorsque le sujet déjà lié au thread courant portait le même principal que l'échange entrant. Étant donné que le thread qui porte un échange Camel provient d'un pool et est réutilisé entre les échanges, un sujet laissé lié par un échange authentifié antérieur pouvait satisfaire la vérification pour un échange ultérieur qui ne présentait aucun identifiant valide propre. Le mot de passe de l'échange entrant n'était, dans ce cas, jamais vérifié. La condition dépend de la réutilisation du thread et de la correspondance du principal, ce qui explique qu'elle n'est pas atteinte à chaque requête, mais elle n'exige rien de l'attaquant au-delà de l'envoi d'une requête nommant un principal activement utilisé. Effectuez la mise à niveau vers Apache Camel 4.23.0, qui corrige le problème. Les utilisateurs des versions LTS 4.18.x doivent effectuer la mise à niveau vers 4.18.5. Les utilisateurs des versions LTS 4.22.x doivent effectuer la mise à niveau vers 4.22.1. Le processeur vérifie désormais les identifiants présentés à chaque échange plutôt que d'accepter un sujet déjà lié au thread. Définir alwaysReauthenticate=false restaure le comportement précédent pour les déploiements qui en dépendent. Pour les déploiements qui ne peuvent pas effectuer la mise à niveau immédiatement, assurez-vous que le sujet Shiro est effacé du thread à la fin de chaque échange afin qu'aucun sujet ne puisse être hérité par un échange ultérieur.

Sources

• CVE-2026-84181PoC

  Preuve de concept exécutable Spring Boot et Quarkus reproduisant le contournement d'authentification thread-bound-subject de Apache Camel camel-shiro, avec des contrôles affectés et corrigés.