CVE-2026-85245

Zusammenfassung

Offenlegung eines Datenelements gegenüber der falschen Sitzung – Schwachstelle in der Apache-Camel-Thrift-Komponente. Dieses Problem betrifft Apache Camel: von 4.0.0 vor 4.18.5, von 4.19.0 vor 4.22.1. Das Thrift-Datenformat hat eingehende Daten in die gemeinsam genutzte defaultInstance des Zieltyps statt in eine frische Kopie entmarshalled und dieses gemeinsam genutzte Objekt als Exchange-Body zurückgegeben. Da die Instanz prozessweit geteilt wird, blieb der Zustand, der beim Unmarshalling einer Nachricht geschrieben wurde, auf dem Objekt erhalten und war für jede spätere Nachricht sichtbar, die denselben Typ verwendete. Felder, die in einer späteren Nutzlast fehlten, behielten die Werte der vorherigen Nachricht, sodass Inhalte eines Absenders gelesen werden konnten, während die Nachricht eines anderen Absenders verarbeitet wurde, und gleichzeitige Exchanges konnten den jeweils teilweise geschriebenen Zustand des anderen beobachten. In einer Bereitstellung, die mehrere Mandanten oder Benutzer über dieselbe Route bedient, bedeutet das die Offenlegung der Daten einer Partei gegenüber einer anderen. Führen Sie ein Upgrade auf Apache Camel 4.23.0 durch, das das Problem behebt. Benutzer des 4.18.x-LTS-Release-Streams sollten auf 4.18.5 aktualisieren. Benutzer des 4.22.x-LTS-Release-Streams sollten auf 4.22.1 aktualisieren. Das Unmarshalling deserialisiert nun in eine Kopie, sodass jeder Exchange seine eigene Instanz erhält und kein Zustand zwischen Nachrichten übertragen wird. Für Bereitstellungen, die nicht sofort aktualisiert werden können, kopieren Sie den entmarshalled Body unmittelbar nach der Ausführung des Datenformats in eine neue Instanz und behalten Sie keine Referenzen auf das zurückgegebene Objekt.

Quellen

• CVE-2026-85245PoC

  Lauffähiger Spring-Boot-Proof-of-Concept zur Reproduktion von CVE-2026-85245, einer Offenlegung von Daten zwischen Austauschsystemen via camel-thrift, mit Vergleich zwischen betroffener und behobener Version sowie Hinweisen zur Risikominderung.