CVE-2026-84181

总结

Apache Camel Shiro 组件中的身份验证不当漏洞。此问题影响 Apache Camel：从 4.0.0 到 4.18.5 之前，从 4.19.0 到 4.22.1 之前。当已绑定到当前线程的 subject 携带与传入 exchange 相同的 principal 时，Shiro 安全处理器会跳过凭据验证。由于承载 Camel exchange 的线程来自线程池并在多个 exchange 之间复用，先前经过身份验证的 exchange 遗留绑定的 subject 可能使后续未提供自身有效凭据的 exchange 通过检查。在这种情况下，传入 exchange 上的密码从未被验证。该条件取决于线程复用和 principal 匹配，因此并非每个请求都会触发，但攻击者只需发送一个指定正在使用中的 principal 的请求即可，无需其他条件。请升级到 Apache Camel 4.23.0，该版本修复了此问题。使用 4.18.x LTS 发布流的用户应升级到 4.18.5。使用 4.22.x LTS 发布流的用户应升级到 4.22.1。该处理器现在会在每个 exchange 上验证所呈现的凭据，而不是接受已绑定到线程的 subject。设置 alwaysReauthenticate=false 可为依赖该行为的部署恢复之前的行为。对于无法立即升级的部署，请确保在每个 exchange 结束时从线程中清除 Shiro subject，以免后续 exchange 继承任何 subject。

来源

• CVE-2026-84181PoC

  可运行的 Spring Boot 和 Quarkus 概念验证，复现 Apache Camel camel-shiro 的 thread-bound-subject 认证绕过漏洞，并包含受影响版本与已修补版本的对照。