CVE-2026-85248

ملخص

ثغرة التنفيذ المتزامن باستخدام مورد مشترك مع مزامنة غير صحيحة ('حالة تسابق') في مكوّن Apache Camel PQC. تؤثر هذه المشكلة على Apache Camel: من 4.12.0 قبل 4.18.5، ومن 4.19.0 قبل 4.22.1. كان المنتِج يحتفظ بمثيل واحد من java.security.Signature ويستخدمه لكل عملية تبادل دون مزامنة الوصول. فـ Signature يحتفظ بالحالة وليس آمنًا للاستخدام عبر الخيوط: إذ تُراكم update() البيانات المطلوب توقيعها أو التحقق منها، وتستهلك verify() تلك الحالة المتراكمة. ومع تشارك عمليات التبادل المتزامنة لمثيل واحد، تتداخل استدعاءات update وverify الخاصة برسائل مختلفة، بحيث قد يكتمل التحقق مقابل بيانات تنتمي إلى عملية تبادل أخرى، أو مقابل مخزن مؤقت متراكم جزئيًا. والنتيجة غير حتمية وتشمل إبلاغ التحقق عن نجاح لرسالة لم يُفحص توقيعها فعليًا قط، وهو ما يُبطل الضمان الذي وُجد المكوّن لتوفيره. ويتطلب الوصول إليها حركة مرور متزامنة عبر نفس نقطة النهاية، وهي الحالة العادية لمسار Camel تحت الحمل. قم بالترقية إلى Apache Camel 4.23.0، الذي يصلح المشكلة. على المستخدمين في سلسلة إصدارات 4.18.x LTS الترقية إلى 4.18.5. وعلى المستخدمين في سلسلة إصدارات 4.22.x LTS الترقية إلى 4.22.1. لم يعد مثيل Signature مشتركًا بين عمليات التبادل المتزامنة. وبالنسبة إلى عمليات النشر التي لا يمكنها الترقية فورًا، قيّد المسار المتأثر بمستهلك متزامن واحد بحيث لا تستخدم عمليتا تبادل المثيل في الوقت نفسه.

المصادر

• CVE-2026-85248PoC

  مُعيد إنتاج قابل للتشغيل بـ Spring Boot وQuarkus لـ CVE-2026-85248، وهو سباق توقيع متزامن في camel-pqc يؤدي إلى تجاوز التحقق من توقيع ML-DSA، مع نسخ البناء المتأثرة والمُصلحة.