CVE-2026-85296

Résumé

Vulnérabilité d'exposition d'un élément de données à une mauvaise session dans le composant AS2 d'Apache Camel. Ce problème affecte Apache Camel : de 4.0.0 avant 4.18.5, de 4.19.0 avant 4.22.1. Le matériel de signature appartenant à une requête individuelle était stocké dans un état partagé entre les requêtes plutôt que confiné à la requête en cours de traitement. Lorsqu'un déploiement sert plus d'un partenaire commercial, des requêtes concurrentes ou successives pouvaient donc observer le matériel les unes des autres, et une Message Disposition Notification pouvait être signée avec la clé d'un partenaire autre que celui auquel l'accusé de réception était destiné. Il en résulte une confusion de clés entre partenaires : un accusé de réception attribuable au mauvais partenaire, et le matériel de signature d'un partenaire utilisé lors du traitement de l'échange d'un autre partenaire. Les déploiements AS2 sont généralement multi-partenaires par conception, de sorte que la condition est atteinte par un trafic concurrent ordinaire plutôt que par quelque chose que l'attaquant doit organiser. Effectuez la mise à niveau vers Apache Camel 4.23.0, qui corrige le problème. Les utilisateurs des versions LTS 4.18.x doivent effectuer la mise à niveau vers 4.18.5. Les utilisateurs des versions LTS 4.22.x doivent effectuer la mise à niveau vers 4.22.1. Les clés de signature par requête sont désormais confinées à la requête en cours de traitement dans ResponseMDN. Pour les déploiements qui ne peuvent pas effectuer la mise à niveau immédiatement, exécutez un contexte Camel distinct par partenaire commercial afin qu'aucun matériel de signature ne soit partagé entre eux.

Sources

• CVE-2026-85296PoC

  Preuve de concept exécutable Spring Boot et Quarkus reproduisant CVE-2026-85296, une confusion de clé de signature MDN entre partenaires dans camel-as2 (CWE-488), avec des builds affectés et corrigés.