CVE-2026-85248

सारांश

Apache Camel PQC घटक में साझा संसाधन के साथ अनुचित सिंक्रोनाइज़ेशन का उपयोग करते हुए समवर्ती निष्पादन ('रेस कंडीशन') भेद्यता। यह समस्या Apache Camel को प्रभावित करती है: 4.12.0 से 4.18.5 से पहले तक, 4.19.0 से 4.22.1 से पहले तक। प्रोड्यूसर एक ही java.security.Signature इंस्टेंस रखता था और एक्सेस को सिंक्रोनाइज़ किए बिना हर एक्सचेंज के लिए उसका उपयोग करता था। Signature स्टेटफुल है और थ्रेड-सेफ नहीं है: update() उस डेटा को जमा करता है जिसे साइन या सत्यापित किया जाना है, और verify() उस जमा किए गए स्टेट का उपभोग करता है। जब समवर्ती एक्सचेंज एक ही इंस्टेंस साझा करते हैं, तो विभिन्न संदेशों के update और verify कॉल एक-दूसरे में गुंथ जाते हैं, इसलिए कोई सत्यापन ऐसे डेटा के विरुद्ध पूर्ण हो सकता है जो किसी अन्य एक्सचेंज का है, या आंशिक रूप से जमा किए गए बफ़र के विरुद्ध। परिणाम अनिर्धारित (non-deterministic) होता है और इसमें ऐसे संदेश के लिए सफलता की रिपोर्ट करने वाला सत्यापन भी शामिल है जिसकी सिग्नेचर वास्तव में कभी जाँची ही नहीं गई, जो उस गारंटी को विफल कर देता है जिसे प्रदान करने के लिए यह घटक मौजूद है। इस तक पहुँचने के लिए एक ही एंडपॉइंट के माध्यम से समवर्ती ट्रैफ़िक की आवश्यकता होती है, जो लोड के तहत Camel रूट के लिए सामान्य स्थिति है। Apache Camel 4.23.0 में अपग्रेड करें, जो इस समस्या को ठीक करता है। 4.18.x LTS रिलीज़ स्ट्रीम पर उपयोगकर्ताओं को 4.18.5 में अपग्रेड करना चाहिए। 4.22.x LTS रिलीज़ स्ट्रीम पर उपयोगकर्ताओं को 4.22.1 में अपग्रेड करना चाहिए। Signature इंस्टेंस अब समवर्ती एक्सचेंजों में साझा नहीं किया जाता है। उन डिप्लॉयमेंट के लिए जो तुरंत अपग्रेड नहीं कर सकते, प्रभावित रूट को एकल समवर्ती उपभोक्ता तक सीमित करें ताकि कोई भी दो एक्सचेंज एक साथ उस इंस्टेंस का उपयोग न करें।

स्रोत

• CVE-2026-85248PoC

  CVE-2026-85248 के लिए रन करने योग्य Spring Boot और Quarkus रिप्रोड्यूसर, जो camel-pqc में एक समवर्ती Signature रेस है जिसके कारण ML-DSA हस्ताक्षर सत्यापन बायपास होता है, प्रभावित बनाम ठीक किए गए बिल्ड्स के साथ।