CVE-2026-85248

Resumen

Vulnerabilidad de ejecución concurrente con uso de recurso compartido y sincronización incorrecta ('condición de carrera') en el componente PQC de Apache Camel. Este problema afecta a Apache Camel: desde 4.12.0 antes de 4.18.5, desde 4.19.0 antes de 4.22.1. El productor mantenía una única instancia de java.security.Signature y la usaba para cada intercambio sin sincronizar el acceso. Signature tiene estado y no es seguro para subprocesos: update() acumula los datos que se van a firmar o verificar, y verify() consume ese estado acumulado. Con intercambios concurrentes que comparten una misma instancia, las llamadas update y verify de mensajes distintos se intercalan, de modo que una verificación puede completarse con datos que pertenecen a otro intercambio, o con un búfer acumulado parcialmente. El resultado es no determinista e incluye que una verificación informe de un éxito para un mensaje cuya firma nunca se comprobó realmente, lo que anula la garantía que el componente existe para proporcionar. Alcanzarlo requiere tráfico concurrente a través del mismo endpoint, que es la condición habitual de una ruta de Camel bajo carga. Actualice a Apache Camel 4.23.0, que corrige el problema. Los usuarios de la rama de versiones LTS 4.18.x deben actualizar a 4.18.5. Los usuarios de la rama de versiones LTS 4.22.x deben actualizar a 4.22.1. La instancia de Signature ya no se comparte entre intercambios concurrentes. Para las implementaciones que no puedan actualizar de inmediato, restrinja la ruta afectada a un único consumidor concurrente para que dos intercambios no usen la instancia a la vez.

Fuentes

• CVE-2026-85248PoC

  Reproductor ejecutable de Spring Boot y Quarkus para CVE-2026-85248, una condición de carrera concurrente de Signature en camel-pqc que provoca la omisión de la verificación de firmas ML-DSA, con compilaciones afectadas frente a corregidas.