CVE-2026-85248

Résumé

Vulnérabilité d'exécution concurrente utilisant une ressource partagée avec une synchronisation incorrecte (« Race Condition ») dans le composant PQC d'Apache Camel. Ce problème affecte Apache Camel : de 4.12.0 avant 4.18.5, de 4.19.0 avant 4.22.1. Le producteur conservait une seule instance de java.security.Signature et l'utilisait pour chaque échange sans synchroniser l'accès. Signature est à état et n'est pas thread-safe : update() accumule les données à signer ou à vérifier, et verify() consomme cet état accumulé. Avec des échanges concurrents partageant une même instance, les appels update et verify de différents messages s'entrelacent, de sorte qu'une vérification peut s'achever sur des données appartenant à un autre échange, ou sur un tampon partiellement accumulé. Le résultat est non déterministe et inclut une vérification signalant un succès pour un message dont la signature n'a jamais réellement été contrôlée, ce qui anéantit la garantie que ce composant existe pour fournir. L'atteindre nécessite un trafic concurrent à travers le même endpoint, ce qui est la condition ordinaire d'une route Camel sous charge. Effectuez la mise à niveau vers Apache Camel 4.23.0, qui corrige le problème. Les utilisateurs des versions LTS de la branche 4.18.x doivent effectuer la mise à niveau vers 4.18.5. Les utilisateurs des versions LTS de la branche 4.22.x doivent effectuer la mise à niveau vers 4.22.1. L'instance Signature n'est plus partagée entre des échanges concurrents. Pour les déploiements qui ne peuvent pas effectuer la mise à niveau immédiatement, limitez la route affectée à un seul consommateur concurrent afin que deux échanges n'utilisent jamais l'instance en même temps.

Sources

• CVE-2026-85248PoC

  Reproducteur exécutable Spring Boot et Quarkus pour CVE-2026-85248, une condition de concurrence sur Signature dans camel-pqc provoquant un contournement de la vérification de signature ML-DSA, avec des builds affectés et corrigés.