CVE-2026-85296

Zusammenfassung

Schwachstelle durch Offenlegung eines Datenelements gegenüber der falschen Sitzung in der Apache-Camel-AS2-Komponente. Dieses Problem betrifft Apache Camel: von 4.0.0 vor 4.18.5, von 4.19.0 vor 4.22.1. Signiermaterial, das zu einer einzelnen Anfrage gehörte, wurde in einem Zustand gespeichert, der über Anfragen hinweg geteilt wurde, statt auf die gerade verarbeitete Anfrage beschränkt zu sein. Wenn eine Bereitstellung mehr als einen Handelspartner bedient, konnten gleichzeitige oder aufeinanderfolgende Anfragen daher das Material des jeweils anderen sehen, und eine Message Disposition Notification konnte mit dem Schlüssel eines anderen Partners als dem, für den die Empfangsbestätigung bestimmt war, signiert werden. Das Ergebnis ist eine partnersübergreifende Schlüsselverwechslung: eine Empfangsbestätigung, die dem falschen Partner zuzuordnen ist, und das Signiermaterial eines Partners, das bei der Abwicklung des Austauschs eines anderen Partners verwendet wird. AS2-Bereitstellungen sind konstruktionsbedingt typischerweise Multi-Partner-Umgebungen, sodass die Bedingung durch gewöhnlichen gleichzeitigen Datenverkehr erreicht wird und nicht durch etwas, das der Angreifer arrangieren müsste. Führen Sie ein Upgrade auf Apache Camel 4.23.0 durch, das das Problem behebt. Benutzer des LTS-Release-Streams 4.18.x sollten auf 4.18.5 aktualisieren. Benutzer des LTS-Release-Streams 4.22.x sollten auf 4.22.1 aktualisieren. Signierschlüssel pro Anfrage sind nun in ResponseMDN auf die gerade verarbeitete Anfrage beschränkt. Für Bereitstellungen, die nicht sofort aktualisiert werden können, führen Sie einen separaten Camel-Kontext pro Handelspartner aus, damit kein Signiermaterial zwischen ihnen geteilt wird.

Quellen

• CVE-2026-85296PoC

  Ausführbare Spring-Boot- und Quarkus-Proof-of-Concept, die CVE-2026-85296 reproduziert, eine partnerübergreifende MDN-Signaturschlüssel-Verwechslung (CWE-488) in camel-as2, mit betroffenen und korrigierten Builds.