CVE-2026-85248

Zusammenfassung

Parallele Ausführung unter Nutzung einer gemeinsam genutzten Ressource mit unsachgemäßer Synchronisierung („Race Condition“) – Schwachstelle in der Apache Camel PQC-Komponente. Dieses Problem betrifft Apache Camel: von 4.12.0 bis vor 4.18.5, von 4.19.0 bis vor 4.22.1. Der Producer hielt eine einzige java.security.Signature-Instanz und verwendete sie für jeden Exchange, ohne den Zugriff zu synchronisieren. Signature ist zustandsbehaftet und nicht threadsicher: update() sammelt die zu signierenden oder zu verifizierenden Daten an, und verify() verbraucht diesen angesammelten Zustand. Bei gleichzeitigen Exchanges, die eine Instanz gemeinsam nutzen, verschachteln sich die update- und verify-Aufrufe verschiedener Nachrichten, sodass eine Verifikation gegen Daten abgeschlossen werden kann, die zu einem anderen Exchange gehören, oder gegen einen teilweise angesammelten Puffer. Das Ergebnis ist nicht deterministisch und umfasst eine Verifikation, die Erfolg für eine Nachricht meldet, deren Signatur nie tatsächlich geprüft wurde, was die Garantie zunichtemacht, die die Komponente eigentlich bieten soll. Um dies zu erreichen, ist gleichzeitiger Datenverkehr über denselben Endpunkt erforderlich, was die normale Bedingung für eine Camel-Route unter Last ist. Führen Sie ein Upgrade auf Apache Camel 4.23.0 durch, das das Problem behebt. Benutzer des 4.18.x-LTS-Release-Streams sollten auf 4.18.5 aktualisieren. Benutzer des 4.22.x-LTS-Release-Streams sollten auf 4.22.1 aktualisieren. Die Signature-Instanz wird nicht mehr über gleichzeitige Exchanges hinweg gemeinsam genutzt. Für Deployments, die nicht sofort aktualisiert werden können, beschränken Sie die betroffene Route auf einen einzigen gleichzeitigen Consumer, sodass nicht zwei Exchanges gleichzeitig die Instanz verwenden.

Quellen

• CVE-2026-85248PoC

  Lauffähiger Spring Boot- und Quarkus-Reproducer für CVE-2026-85248, ein Nebenläufigkeits-Wettlauf bei Signaturen in camel-pqc, der eine Umgehung der ML-DSA-Signaturverifikation verursacht, mit betroffenen und korrigierten Builds.