CVE-2026-85245

Résumé

Vulnérabilité d'exposition d'un élément de données à une mauvaise session dans le composant Apache Camel Thrift. Ce problème affecte Apache Camel : de 4.0.0 avant 4.18.5, de 4.19.0 avant 4.22.1. Le format de données Thrift désérialisait les données entrantes dans l'instance partagée defaultInstance du type cible plutôt que dans une copie fraîche, et renvoyait cet objet partagé comme corps de l'échange. Comme l'instance est partagée à l'échelle du processus, l'état écrit lors de la désérialisation d'un message restait sur l'objet et était visible pour tous les messages ultérieurs utilisant le même type. Les champs absents d'une charge utile ultérieure conservaient les valeurs du message précédent, de sorte que le contenu appartenant à un expéditeur pouvait être lu lors du traitement du message d'un autre expéditeur, et des échanges concurrents pouvaient observer l'état partiellement écrit les uns des autres. Dans un déploiement qui sert plusieurs locataires ou utilisateurs via la même route, cela constitue une divulgation des données d'une partie à une autre. Effectuez la mise à niveau vers Apache Camel 4.23.0, qui corrige le problème. Les utilisateurs des versions LTS 4.18.x doivent effectuer la mise à niveau vers 4.18.5. Les utilisateurs des versions LTS 4.22.x doivent effectuer la mise à niveau vers 4.22.1. La désérialisation s'effectue désormais dans une copie, de sorte que chaque échange obtient sa propre instance et qu'aucun état ne persiste entre les messages. Pour les déploiements qui ne peuvent pas effectuer la mise à niveau immédiatement, copiez le corps désérialisé dans une nouvelle instance immédiatement après l'exécution du format de données, et ne conservez pas de références à l'objet renvoyé.

Sources

• CVE-2026-85245PoC

  Preuve de concept Spring Boot exécutable reproduisant CVE-2026-85245, une divulgation de données entre échanges camel-thrift, avec comparaison entre version affectée et version corrigée et notes d'atténuation.