CVE-2026-85248

Współbieżne wykonanie przy użyciu współdzielonego zasobu z niewłaściwą luką w synchronizacji („warunek wyścigu”) w komponencie Apache Camel PQC.

Ten problem dotyczy Apache Camel: od 4.12.0 przed 4.18.5, od 4.19.0 przed 4.22.1.




Producent posiadał pojedynczą instancję java.security.Signature i używał jej do każdej wymiany bez synchronizacji dostępu. Podpis jest stanowy i nie jest bezpieczny dla wątków: funkcja update() gromadzi dane do podpisania lub weryfikacji, a funkcja Verify() wykorzystuje zgromadzony stan. W przypadku równoczesnych wymian współdzielących jedną instancję, wywołania aktualizacji i weryfikacji różnych komunikatów przeplatają się, dzięki czemu weryfikacja może zostać zakończona w oparciu o dane należące do innej centrali lub w oparciu o częściowo zgromadzony bufor. Wynik jest niedeterministyczny i obejmuje raportowanie pomyślnej weryfikacji wiadomości, której podpis w rzeczywistości nigdy nie został sprawdzony, co podważa gwarancję, jaką zapewnia komponent. Dotarcie do niego wymaga jednoczesnego ruchu przez ten sam punkt końcowy, co jest normalnym warunkiem w przypadku obciążonej trasy Camel.

Uaktualnij do Apache Camel 4.23.0, co rozwiąże problem. Użytkownicy strumienia wydań 4.18.x LTS powinni dokonać aktualizacji do wersji 4.18.5. Użytkownicy strumienia wydań 4.22.x LTS powinni dokonać aktualizacji do wersji 4.22.1. Instancja Signature nie jest już współdzielona na równoczesnych giełdach. W przypadku wdrożeń, których nie można uaktualnić natychmiast, ogranicz trasę, której dotyczy problem, do jednego równoczesnego konsumenta, tak aby żadne dwie giełdy nie korzystały z instancji jednocześnie.