CVE-2026-84181

Resumo

Vulnerabilidade de Autenticação Imprópria no componente Apache Camel Shiro. Este problema afeta o Apache Camel: de 4.0.0 antes de 4.18.5, de 4.19.0 antes de 4.22.1. O processador de segurança Shiro ignorava a verificação de credenciais quando o subject já vinculado à thread atual carregava o mesmo principal que o exchange de entrada. Como a thread que carrega um exchange do Camel é retirada de um pool e reutilizada entre exchanges, um subject deixado vinculado por um exchange autenticado anterior poderia satisfazer a verificação de um exchange posterior que não apresentava credenciais válidas próprias. A senha no exchange de entrada, nesse caso, nunca era verificada. A condição depende da reutilização de threads e da correspondência do principal, razão pela qual não é atingida em todas as requisições, mas não exige nada do atacante além de enviar uma requisição nomeando um principal que esteja em uso ativo. Atualize para o Apache Camel 4.23.0, que corrige o problema. Usuários do fluxo de releases LTS 4.18.x devem atualizar para 4.18.5. Usuários do fluxo de releases LTS 4.22.x devem atualizar para 4.22.1. O processador agora verifica as credenciais apresentadas em cada exchange, em vez de aceitar um subject já vinculado à thread. Definir alwaysReauthenticate=false restaura o comportamento anterior para implantações que dependem dele. Para implantações que não podem atualizar imediatamente, garanta que o subject do Shiro seja limpo da thread ao final de cada exchange, para que nenhum subject possa ser herdado por um exchange posterior.

Fontes

• CVE-2026-84181PoC

  Prova de conceito executável em Spring Boot e Quarkus que reproduz o bypass de autenticação thread-bound-subject do Apache Camel camel-shiro, com controles afetados e corrigidos.