CVE-2026-84181

Riepilogo

Vulnerabilità di autenticazione impropria nel componente Shiro di Apache Camel. Il problema riguarda Apache Camel: dalla 4.0.0 precedente alla 4.18.5, dalla 4.19.0 precedente alla 4.22.1. Il processore di sicurezza Shiro saltava la verifica delle credenziali quando il subject già associato al thread corrente portava lo stesso principal dell'exchange in arrivo. Poiché il thread che trasporta un exchange Camel proviene da un pool e viene riutilizzato tra exchange diversi, un subject rimasto associato da un exchange autenticato in precedenza poteva soddisfare il controllo per un exchange successivo che non presentava credenziali valide proprie. In tal caso, la password sull'exchange in arrivo non veniva mai verificata. La condizione dipende dal riutilizzo del thread e dalla corrispondenza del principal, motivo per cui non si verifica a ogni richiesta, ma non richiede all'attaccante altro che inviare una richiesta indicando un principal attualmente in uso. Aggiornare ad Apache Camel 4.23.0, che risolve il problema. Gli utenti del ramo LTS 4.18.x devono aggiornare alla 4.18.5. Gli utenti del ramo LTS 4.22.x devono aggiornare alla 4.22.1. Il processore ora verifica le credenziali presentate su ogni exchange invece di accettare un subject già associato al thread. Impostare alwaysReauthenticate=false ripristina il comportamento precedente per le installazioni che vi dipendono. Per le installazioni che non possono aggiornare immediatamente, assicurarsi che il subject Shiro venga rimosso dal thread al termine di ogni exchange, in modo che nessun subject possa essere ereditato da un exchange successivo.

Fonti

• CVE-2026-84181PoC

  Proof-of-concept eseguibile per Spring Boot e Quarkus che riproduce il bypass di autenticazione thread-bound-subject di Apache Camel camel-shiro, con controlli vulnerabili e corretti.