CVE-2026-85296

Resumen

Vulnerabilidad de exposición de elemento de datos a sesión incorrecta en el componente AS2 de Apache Camel. Este problema afecta a Apache Camel: desde 4.0.0 anterior a 4.18.5, desde 4.19.0 anterior a 4.22.1. El material de firma perteneciente a una solicitud individual se almacenaba en un estado compartido entre solicitudes en lugar de estar confinado a la solicitud que se estaba procesando. Cuando una implementación atiende a más de un socio comercial, las solicitudes concurrentes o sucesivas podían, por lo tanto, observar el material de las demás, y una Notificación de Disposición de Mensaje podía firmarse con la clave de un socio distinto de aquel al que correspondía el acuse de recibo. El resultado es una confusión de claves entre socios: un acuse de recibo atribuible al socio equivocado, y el material de firma de un socio utilizado al gestionar el intercambio de otro socio. Las implementaciones de AS2 son típicamente multipartner por diseño, por lo que la condición se alcanza con tráfico concurrente ordinario y no con algo que el atacante deba preparar. Actualice a Apache Camel 4.23.0, que corrige el problema. Los usuarios de la rama de versiones LTS 4.18.x deben actualizar a 4.18.5. Los usuarios de la rama de versiones LTS 4.22.x deben actualizar a 4.22.1. Las claves de firma por solicitud ahora están confinadas a la solicitud que se está procesando en ResponseMDN. Para las implementaciones que no puedan actualizar de inmediato, ejecute un contexto de Camel independiente por cada socio comercial, de modo que no se comparta material de firma entre ellos.

Fuentes

• CVE-2026-85296PoC

  Prueba de concepto ejecutable en Spring Boot y Quarkus que reproduce CVE-2026-85296, una confusión de claves de firma MDN entre socios en camel-as2 (CWE-488), con compilaciones afectadas y corregidas.