CVE-2026-85296

Narażenie elementu danych na lukę w niewłaściwej sesji w komponencie Apache Camel AS2.

Ten problem dotyczy Apache Camel: od 4.0.0 przed 4.18.5, od 4.19.0 przed 4.22.1.

Materiał do podpisu należący do pojedynczego wniosku był przechowywany w stanie, który jest wspólny dla wszystkich żądań, a nie ogranicza się do przetwarzanego żądania. Jeżeli wdrożenie obsługuje więcej niż jednego partnera handlowego, jednoczesne lub kolejne żądania mogą zatem obejmować wzajemne zapoznawanie się z materiałami, a powiadomienie o dyspozycji wiadomości może zostać podpisane kluczem innego partnera niż ten, dla którego otrzymano potwierdzenie. W rezultacie dochodzi do zamieszania wśród partnerów: paragon przypisany niewłaściwemu partnerowi oraz materiały do ​​podpisu jednego z partnerów użyte podczas obsługi wymiany innego partnera. Wdrożenia AS2 są zazwyczaj z założenia wielopartnerskie, więc warunek jest osiągany w wyniku zwykłego, współbieżnego ruchu, a nie przez cokolwiek, co atakujący musi zorganizować.

Uaktualnij do Apache Camel 4.23.0, co rozwiąże problem. Użytkownicy strumienia wydań 4.18.x LTS powinni dokonać aktualizacji do wersji 4.18.5. Użytkownicy strumienia wydań 4.22.x LTS powinni dokonać aktualizacji do wersji 4.22.1. Klucze podpisywania poszczególnych żądań są teraz ograniczone do żądania przetwarzanego w ResponseMDN. W przypadku wdrożeń, których nie można uaktualnić natychmiast, uruchom oddzielny kontekst Camel dla każdego partnera handlowego, aby nie udostępniali między sobą żadnych materiałów do podpisywania.