CVE-2026-84181

요약

Apache Camel Shiro 컴포넌트의 부적절한 인증 취약점입니다. 이 문제는 Apache Camel 4.0.0부터 4.18.5 이전, 4.19.0부터 4.22.1 이전 버전에 영향을 미칩니다. Shiro 보안 프로세서는 현재 스레드에 이미 바인딩된 subject가 수신 exchange와 동일한 principal을 가지고 있을 때 자격 증명 검증을 건너뛰었습니다. Camel exchange를 운반하는 스레드는 풀에서 가져와 여러 exchange에 걸쳐 재사용되기 때문에, 이전에 인증된 exchange에 의해 바인딩된 채로 남은 subject가 자체적으로 유효한 자격 증명을 제시하지 않은 이후의 exchange에 대한 검사를 통과할 수 있었습니다. 이 경우 수신 exchange의 비밀번호는 검증되지 않았습니다. 이 조건은 스레드 재사용과 principal 일치에 의존하므로 모든 요청에서 발생하지는 않지만, 공격자는 현재 활발히 사용 중인 principal을 지정한 요청을 보내는 것 외에는 아무것도 필요로 하지 않습니다. 이 문제를 수정한 Apache Camel 4.23.0으로 업그레이드하십시오. 4.18.x LTS 릴리스 스트림 사용자는 4.18.5로 업그레이드해야 합니다. 4.22.x LTS 릴리스 스트림 사용자는 4.22.1로 업그레이드해야 합니다. 이제 프로세서는 스레드에 이미 바인딩된 subject를 수용하는 대신 모든 exchange에서 제시된 자격 증명을 검증합니다. alwaysReauthenticate=false로 설정하면 이에 의존하는 배포 환경에서 이전 동작을 복원합니다. 즉시 업그레이드할 수 없는 배포 환경의 경우, 이후 exchange에 어떤 subject도 상속되지 않도록 모든 exchange가 끝날 때 스레드에서 Shiro subject를 지우십시오.

소스

• CVE-2026-84181PoC

  Apache Camel camel-shiro의 스레드 바인딩된 subject 인증 우회를 재현하는 실행 가능한 Spring Boot 및 Quarkus 개념 증명으로, 취약 및 패치된 대조군을 포함합니다.