CVE-2026-85296

ملخص

كشف عن ثغرة "عرض عنصر البيانات للجلسة الخاطئة" في مكوّن AS2 في Apache Camel. تؤثر هذه المشكلة على Apache Camel: من 4.0.0 قبل 4.18.5، ومن 4.19.0 قبل 4.22.1. كانت مواد التوقيع الخاصة بطلب فردي تُخزَّن في حالة مشتركة بين الطلبات بدلاً من أن تكون محصورة في الطلب الذي تتم معالجته. وحيثما يخدم النشر أكثر من شريك تجاري واحد، فقد تتمكن الطلبات المتزامنة أو المتعاقبة من الاطلاع على مواد بعضها البعض، وقد يتم توقيع إشعار إيداع رسالة (Message Disposition Notification) بمفتاح شريك غير الشريك الذي كان الإيصال مخصصًا له. والنتيجة هي الخلط بين مفاتيح الشركاء: إيصال يُنسب إلى الشريك الخاطئ، واستخدام مواد توقيع شريك أثناء معالجة تبادل شريك آخر. وعادةً ما تكون عمليات نشر AS2 متعددة الشركاء بحكم التصميم، لذا يُبلَغ إلى الحالة عبر حركة مرور متزامنة عادية بدلاً من أي شيء يجب على المهاجم ترتيبه. قم بالترقية إلى Apache Camel 4.23.0، الذي يصلح المشكلة. يجب على المستخدمين على سلسلة إصدارات الدعم طويل الأمد 4.18.x الترقية إلى 4.18.5. يجب على المستخدمين على سلسلة إصدارات الدعم طويل الأمد 4.22.x الترقية إلى 4.22.1. أصبحت مفاتيح التوقيع لكل طلب محصورة الآن في الطلب الذي تتم معالجته في ResponseMDN. بالنسبة لعمليات النشر التي لا يمكنها الترقية فورًا، شغّل سياق Camel منفصلًا لكل شريك تجاري بحيث لا تُشارَك أي مواد توقيع بينها.

المصادر

• CVE-2026-85296PoC

  نسخة إثبات مفهوم قابلة للتشغيل بـ Spring Boot وQuarkus تُعيد إنتاج CVE-2026-85296، وهو خلط في مفتاح توقيع MDN عبر الشركاء في camel-as2 (CWE-488)، مع نسخ بناء متأثرة ومُصلحة.