CVE-2026-84181

Luka w zabezpieczeniach nieprawidłowego uwierzytelniania w komponencie Apache Camel Shiro.



Ten problem dotyczy Apache Camel: od 4.0.0 przed 4.18.5, od 4.19.0 przed 4.22.1.

Procesor bezpieczeństwa Shiro pominął weryfikację danych uwierzytelniających, gdy podmiot już powiązany z bieżącym wątkiem zawierał tę samą nazwę główną, co przychodząca wymiana. Ponieważ wątek przenoszący wymianę Camel jest pobierany z puli i ponownie używany na różnych giełdach, podmiot pozostawiony związany z wcześniejszą uwierzytelnioną wymianą może spełnić weryfikację późniejszej wymiany, która nie przedstawiła własnych ważnych danych uwierzytelniających. W takim przypadku hasło do przychodzącej wymiany nie zostało nigdy zweryfikowane. Warunek zależy od ponownego wykorzystania wątku i dopasowania podmiotu głównego, dlatego nie jest on osiągany przy każdym żądaniu, ale nie wymaga od atakującego niczego poza wysłaniem żądania podającego nazwę podmiotu zabezpieczeń, który jest aktywnie używany.

Uaktualnij do Apache Camel 4.23.0, co rozwiąże problem. Użytkownicy strumienia wydań 4.18.x LTS powinni dokonać aktualizacji do wersji 4.18.5. Użytkownicy strumienia wydań 4.22.x LTS powinni dokonać aktualizacji do wersji 4.22.1. Procesor weryfikuje teraz przedstawione poświadczenia na każdej wymianie, zamiast akceptować temat już powiązany z wątkiem. Ustawienie AlwaysReauthenticate=false przywraca poprzednie zachowanie w przypadku zależnych od niego wdrożeń. W przypadku wdrożeń, których nie można uaktualnić natychmiast, upewnij się, że temat Shiro został usunięty z wątku na końcu każdej wymiany, aby żaden podmiot nie mógł zostać odziedziczony przez kolejny.