CVE-2026-84181

Резюме

Уязвимость неправильной аутентификации в компоненте Apache Camel Shiro. Проблема затрагивает Apache Camel: с 4.0.0 до 4.18.5, с 4.19.0 до 4.22.1. Процессор безопасности Shiro пропускал проверку учётных данных, когда субъект, уже привязанный к текущему потоку, имел тот же principal, что и входящий exchange. Поскольку поток, несущий Camel exchange, берётся из пула и повторно используется для разных exchange, субъект, оставшийся привязанным от ранее аутентифицированного exchange, мог удовлетворять проверке для последующего exchange, который не предъявлял собственных действительных учётных данных. Пароль во входящем exchange в таком случае никогда не проверялся. Условие зависит от повторного использования потока и от совпадения principal, поэтому оно не достигается при каждом запросе, но от атакующего требуется лишь отправить запрос с указанием principal, который активно используется. Обновитесь до Apache Camel 4.23.0, где проблема исправлена. Пользователям ветки LTS-релизов 4.18.x следует обновиться до 4.18.5. Пользователям ветки LTS-релизов 4.22.x следует обновиться до 4.22.1. Теперь процессор проверяет предъявленные учётные данные при каждом exchange, а не принимает субъект, уже привязанный к потоку. Установка alwaysReauthenticate=false восстанавливает прежнее поведение для развёртываний, которые от него зависят. Для развёртываний, которые не могут обновиться немедленно, обеспечьте очистку субъекта Shiro из потока в конце каждого exchange, чтобы никакой субъект не мог быть унаследован последующим.

Источники

• CVE-2026-84181PoC

  Рабочий proof-of-concept на Spring Boot и Quarkus, воспроизводящий обход аутентификации thread-bound-subject в Apache Camel camel-shiro, с уязвимым и исправленным вариантами для сравнения.