CVE-2026-84181

概要

Apache Camel Shiroコンポーネントにおける不適切な認証の脆弱性。この問題はApache Camelに影響します: 4.0.0から4.18.5より前、4.19.0から4.22.1より前。Shiroセキュリティプロセッサは、現在のスレッドに既にバインドされているサブジェクトが受信エクスチェンジと同じプリンシパルを持っている場合、資格情報の検証をスキップしていました。Camelエクスチェンジを運ぶスレッドはプールから取得され、エクスチェンジ間で再利用されるため、以前の認証済みエクスチェンジによってバインドされたままのサブジェクトが、自身の有効な資格情報を提示していない後のエクスチェンジのチェックを満たしてしまう可能性がありました。その場合、受信エクスチェンジのパスワードは決して検証されませんでした。この条件はスレッドの再利用とプリンシパルの一致に依存するため、すべてのリクエストで発生するわけではありませんが、攻撃者には現在アクティブに使用されているプリンシパルを指定したリクエストを送信する以外に何も必要としません。この問題を修正したApache Camel 4.23.0にアップグレードしてください。4.18.x LTSリリースストリームのユーザーは4.18.5にアップグレードする必要があります。4.22.x LTSリリースストリームのユーザーは4.22.1にアップグレードする必要があります。プロセッサは、スレッドに既にバインドされているサブジェクトを受け入れるのではなく、すべてのエクスチェンジで提示された資格情報を検証するようになりました。alwaysReauthenticate=falseを設定すると、それに依存するデプロイメントでは以前の動作に戻ります。すぐにアップグレードできないデプロイメントでは、すべてのエクスチェンジの終了時にスレッドからShiroサブジェクトをクリアし、後のエクスチェンジにサブジェクトが継承されないようにしてください。

ソース

• CVE-2026-84181PoC

  Spring Boot と Quarkus で実行可能な概念実証。Apache Camel の camel-shiro における thread-bound-subject 認証バイパスを再現し、脆弱な構成と修正済みの対照構成を備えています。