CVE-2026-84181

सारांश

Apache Camel Shiro घटक में अनुचित प्रमाणीकरण (Improper Authentication) की भेद्यता। यह समस्या Apache Camel को प्रभावित करती है: 4.0.0 से 4.18.5 से पहले तक, 4.19.0 से 4.22.1 से पहले तक। Shiro सुरक्षा प्रोसेसर ने क्रेडेंशियल सत्यापन को छोड़ दिया जब वर्तमान थ्रेड से पहले से बंधा हुआ सब्जेक्ट आने वाले एक्सचेंज के समान प्रिंसिपल रखता था। चूंकि Camel एक्सचेंज को वहन करने वाला थ्रेड एक पूल से लिया जाता है और एक्सचेंजों के बीच पुनः उपयोग किया जाता है, पहले के प्रमाणित एक्सचेंज द्वारा छोड़ा गया बंधा हुआ सब्जेक्ट बाद वाले एक्सचेंज के लिए जाँच को संतुष्ट कर सकता था, जिसने अपने स्वयं के कोई वैध क्रेडेंशियल प्रस्तुत नहीं किए थे। उस स्थिति में, आने वाले एक्सचेंज पर पासवर्ड का कभी सत्यापन नहीं किया गया। यह स्थिति थ्रेड पुनः उपयोग और प्रिंसिपल के मेल पर निर्भर करती है, यही कारण है कि यह हर अनुरोध पर नहीं पहुँचती, लेकिन हमलावर से इसके लिए केवल एक ऐसे प्रिंसिपल का नाम लेते हुए अनुरोध भेजने के अलावा कुछ और आवश्यक नहीं है जो सक्रिय रूप से उपयोग में हो। Apache Camel 4.23.0 में अपग्रेड करें, जो इस समस्या को ठीक करता है। 4.18.x LTS रिलीज़ स्ट्रीम पर उपयोगकर्ताओं को 4.18.5 में अपग्रेड करना चाहिए। 4.22.x LTS रिलीज़ स्ट्रीम पर उपयोगकर्ताओं को 4.22.1 में अपग्रेड करना चाहिए। प्रोसेसर अब थ्रेड से पहले से बंधे सब्जेक्ट को स्वीकार करने के बजाय हर एक्सचेंज पर प्रस्तुत क्रेडेंशियल का सत्यापन करता है। alwaysReauthenticate=false सेट करने से उन डिप्लॉयमेंट्स के लिए पिछला व्यवहार बहाल हो जाता है जो इस पर निर्भर हैं। उन डिप्लॉयमेंट्स के लिए जो तुरंत अपग्रेड नहीं कर सकते, सुनिश्चित करें कि हर एक्सचेंज के अंत में Shiro सब्जेक्ट को थ्रेड से साफ़ कर दिया जाए ताकि कोई भी सब्जेक्ट बाद वाले एक्सचेंज द्वारा विरासत में न लिया जा सके।

स्रोत

• CVE-2026-84181PoC

  Apache Camel camel-shiro थ्रेड-बाउंड-सब्जेक्ट प्रमाणीकरण बायपास को पुनः उत्पन्न करने वाला, प्रभावित और पैच किए गए नियंत्रणों सहित, चलाने योग्य Spring Boot और Quarkus प्रूफ-ऑफ-कॉन्सेप्ट।