CVE-2026-84181

Apache Camel Shiro bileşeninde Hatalı Kimlik Doğrulama zafiyeti bulunmaktadır. Bu sorun şu Apache Camel sürümlerini etkilemektedir: 4.0.0 ile 4.18.5 arası ve 4.19.0 ile 4.22.1 arası. Shiro güvenlik işlemcisi, mevcut iş parçacığına (thread) bağlı olan özne (subject), gelen değişimle (exchange) aynı temel kimliğe (principal) sahip olduğunda kimlik bilgileri doğrulamasını atlamaktaydı. Bir Camel değişimi taşıyan iş parçacığı bir havuzdan çekildiği ve değişimler arasında yeniden kullanıldığı için, daha önce kimliği doğrulanmış bir değişim tarafından bağlı bırakılan bir özne, kendi geçerli kimlik bilgilerini sunmayan sonraki bir değişim için kontrolü sağlayabilmekteydi. Bu durumda, gelen değişimdeki parola hiçbir zaman doğrulanmamaktaydı. Koşul, iş parçacığının yeniden kullanımına ve temel kimliğin eşleşmesine bağlıdır; bu nedenle her istekte gerçekleşmez ancak saldırganın aktif olarak kullanılan bir temel kimliği belirten bir istek göndermesi dışında herhangi bir işlem yapmasını gerektirmez. Sorunu gideren Apache Camel 4.23.0 sürümüne yükseltin. 4.18.x LTS yayın akışındaki kullanıcılar 4.18.5 sürümüne, 4.22.x LTS yayın akışındaki kullanıcılar ise 4.22.1 sürümüne yükseltmelidir. İşlemci artık iş parçacığına önceden bağlı bir özneyi kabul etmek yerine, her değişimde sunulan kimlik bilgilerini doğrulamaktadır. `alwaysReauthenticate=false` ayarı, buna bağımlı olan dağıtımlar için önceki davranışı geri getirir. Hemen yükseltme yapamayan dağıtımlar için, sonraki bir değişim tarafından herhangi bir öznenin miras alınmaması adına, her değişimin sonunda Shiro öznesinin iş parçacığından temizlendiğinden emin olun.