CVE-2026-85243

Zusammenfassung

Schwachstelle „Improper Validation of Integrity Check Value“ in der Apache Camel Crypto PGP-Komponente. Dieses Problem betrifft Apache Camel: von 4.0.0 vor 4.18.5, von 4.19.0 vor 4.22.1. unmarshal() verifizierte den Modification Detection Code nur, wenn die Nachricht ein symmetrisch verschlüsseltes, integritätsgeschütztes OpenPGP-Datenpaket war. Das ältere symmetrisch verschlüsselte Datenpaket enthält keinen solchen Code, und der CFB-Modus von OpenPGP ist ohne einen solchen manipulierbar, sodass eine Nachricht, die dieses Paket verwendet, die Prüfung vollständig umging. Der Pakettyp wird von demjenigen gewählt, der die Nachricht erzeugt hat, wodurch der Absender – oder jeder, der die Nachricht auf dem Transportweg umschreiben kann – darüber entschied, ob die Integritätsprüfung überhaupt angewendet wurde. Die bestehende Integritätsoption betrifft nur das Marshalling und hatte kein Gegenstück auf der Entschlüsselungsseite, sodass eine Bereitstellung keine Integritätsprüfung für die von ihr akzeptierten Nachrichten erzwingen konnte. Führen Sie ein Upgrade auf Apache Camel 4.23.0 durch, das das Problem behebt. Benutzer des LTS-Release-Streams 4.18.x sollten auf 4.18.5 aktualisieren. Benutzer des LTS-Release-Streams 4.22.x sollten auf 4.22.1 aktualisieren. Eine Option requireIntegrityProtection, die standardmäßig auf true gesetzt ist, lehnt nun eine Nachricht ab, die nicht integritätsgeschützt ist. Beachten Sie, dass signatureVerificationOption weiterhin standardmäßig auf optional steht, sodass eine Nachricht ohne Signatur akzeptiert wird; erst beide Optionen zusammen verleihen einer entschlüsselten Nachricht Authentizität und nicht nur Vertraulichkeit. Für Bereitstellungen, die nicht sofort aktualisiert werden können, lehnen Sie Nachrichten, die nicht das integritätsgeschützte Paket verwenden, ab, bevor sie das Datenformat erreichen. Routen, die mit einem Absender interoperieren müssen, der noch das Legacy-Paket ausgibt, sollten nach dem Upgrade requireIntegrityProtection=false setzen und den entschlüsselten Inhalt als nicht authentifiziert behandeln.

Quellen

• CVE-2026-85243PoC