CVE-2026-85245

सारांश

Apache Camel Thrift घटक में डेटा एलिमेंट का गलत सत्र के लिए एक्सपोज़र होने की भेद्यता। यह समस्या Apache Camel को प्रभावित करती है: 4.0.0 से 4.18.5 से पहले तक, 4.19.0 से 4.22.1 से पहले तक। Thrift डेटा फ़ॉर्मेट आने वाले डेटा को लक्ष्य प्रकार के साझा defaultInstance में अनमार्शल करता था, न कि एक नई प्रति में, और उस साझा ऑब्जेक्ट को एक्सचेंज बॉडी के रूप में लौटाता था। चूँकि यह इंस्टेंस पूरे प्रोसेस में साझा होता है, एक संदेश को अनमार्शल करते समय लिखी गई स्थिति उस ऑब्जेक्ट पर बनी रहती थी और उसी प्रकार का उपयोग करने वाले हर बाद के संदेश को दिखाई देती थी। बाद के पेलोड में अनुपस्थित फ़ील्ड पिछले संदेश के मान बनाए रखते थे, इसलिए एक प्रेषक की सामग्री को किसी अन्य प्रेषक के संदेश को प्रोसेस करते समय पढ़ा जा सकता था, और समवर्ती एक्सचेंज एक-दूसरे की आंशिक रूप से लिखी गई स्थिति को देख सकते थे। ऐसे डिप्लॉयमेंट में जो एक ही रूट के माध्यम से एक से अधिक टेनेंट या उपयोगकर्ताओं को सेवा प्रदान करता है, यह एक पक्ष के डेटा का दूसरे को प्रकटीकरण है। Apache Camel 4.23.0 में अपग्रेड करें, जो इस समस्या को ठीक करता है। 4.18.x LTS रिलीज़ स्ट्रीम पर उपयोगकर्ताओं को 4.18.5 में अपग्रेड करना चाहिए। 4.22.x LTS रिलीज़ स्ट्रीम पर उपयोगकर्ताओं को 4.22.1 में अपग्रेड करना चाहिए। अब अनमार्शलिंग एक प्रति में डीसेरियलाइज़ करती है, इसलिए प्रत्येक एक्सचेंज को अपना स्वयं का इंस्टेंस मिलता है और संदेशों के बीच कोई स्थिति नहीं जाती। ऐसे डिप्लॉयमेंट के लिए जो तुरंत अपग्रेड नहीं कर सकते, डेटा फ़ॉर्मेट चलने के तुरंत बाद अनमार्शल की गई बॉडी को एक नए इंस्टेंस में कॉपी करें, और लौटाए गए ऑब्जेक्ट के संदर्भ न रखें।

स्रोत

• CVE-2026-85245PoC

  CVE-2026-85245 को पुनरुत्पादित करने वाला एक रन करने योग्य Spring Boot प्रूफ-ऑफ-कॉन्सेप्ट, जो camel-thrift क्रॉस-एक्सचेंज डेटा डिस्क्लोज़र है, जिसमें प्रभावित बनाम ठीक किए गए संस्करण की तुलना और शमन नोट्स शामिल हैं।