CVE-2026-85245

Resumen

Vulnerabilidad de exposición de elemento de datos a sesión incorrecta en el componente Apache Camel Thrift. Este problema afecta a Apache Camel: desde 4.0.0 antes de 4.18.5, desde 4.19.0 antes de 4.22.1. El formato de datos Thrift deserializaba los datos entrantes en la defaultInstance compartida del tipo de destino en lugar de en una copia nueva, y devolvía ese objeto compartido como cuerpo del exchange. Dado que la instancia se comparte en todo el proceso, el estado escrito durante la deserialización de un mensaje permanecía en el objeto y era visible para todos los mensajes posteriores que usaban el mismo tipo. Los campos ausentes en una carga útil posterior conservaban los valores del mensaje anterior, por lo que el contenido perteneciente a un remitente podía leerse mientras se procesaba el mensaje de otro remitente, y los exchanges concurrentes podían observar el estado parcialmente escrito de los demás. En una implementación que atiende a más de un inquilino o usuario a través de la misma ruta, esto supone la divulgación de los datos de una parte a otra. Actualice a Apache Camel 4.23.0, que corrige el problema. Los usuarios de la rama de versiones LTS 4.18.x deben actualizar a 4.18.5. Los usuarios de la rama de versiones LTS 4.22.x deben actualizar a 4.22.1. La deserialización ahora se realiza en una copia, de modo que cada exchange obtiene su propia instancia y ningún estado se transfiere entre mensajes. Para las implementaciones que no puedan actualizar de inmediato, copie el cuerpo deserializado en una nueva instancia inmediatamente después de que se ejecute el formato de datos, y no conserve referencias al objeto devuelto.

Fuentes

• CVE-2026-85245PoC

  Prueba de concepto ejecutable de Spring Boot que reproduce CVE-2026-85245, una divulgación de datos entre intercambios de camel-thrift, con comparación entre versión afectada y corregida y notas de mitigación.