CVE-2026-85296

सारांश

Apache Camel AS2 घटक में डेटा एलिमेंट का गलत सत्र के प्रति एक्सपोज़र (Exposure of Data Element to Wrong Session) भेद्यता। यह समस्या Apache Camel को प्रभावित करती है: 4.0.0 से 4.18.5 से पहले तक, 4.19.0 से 4.22.1 से पहले तक। किसी व्यक्तिगत अनुरोध से संबंधित साइनिंग सामग्री को उस स्थिति (state) में संग्रहीत किया जाता था जो अनुरोधों के बीच साझा होती है, बजाय इसके कि वह संसाधित किए जा रहे अनुरोध तक सीमित रहे। जहाँ कोई डिप्लॉयमेंट एक से अधिक ट्रेडिंग पार्टनर को सेवा प्रदान करता है, वहाँ समवर्ती या क्रमिक अनुरोध एक-दूसरे की सामग्री देख सकते थे, और किसी Message Disposition Notification पर उस पार्टनर के अलावा किसी अन्य पार्टनर की कुंजी से हस्ताक्षर किए जा सकते थे जिसके लिए रसीद (receipt) थी। परिणाम क्रॉस-पार्टनर कुंजी भ्रम (cross-partner key confusion) है: एक रसीद जो गलत पार्टनर के लिए जिम्मेदार ठहराई जा सकती है, और एक पार्टनर की साइनिंग सामग्री का उपयोग दूसरे पार्टनर के एक्सचेंज को संभालते समय किया जाना। AS2 डिप्लॉयमेंट डिज़ाइन के अनुसार आमतौर पर मल्टी-पार्टनर होते हैं, इसलिए यह स्थिति सामान्य समवर्ती ट्रैफ़िक से पहुँच जाती है, न कि किसी ऐसी चीज़ से जिसे हमलावर को व्यवस्थित करना पड़े। इस समस्या को ठीक करने वाले Apache Camel 4.23.0 में अपग्रेड करें। 4.18.x LTS रिलीज़ स्ट्रीम पर मौजूद उपयोगकर्ताओं को 4.18.5 में अपग्रेड करना चाहिए। 4.22.x LTS रिलीज़ स्ट्रीम पर मौजूद उपयोगकर्ताओं को 4.22.1 में अपग्रेड करना चाहिए। अब प्रति-अनुरोध साइनिंग कुंजियाँ ResponseMDN में संसाधित किए जा रहे अनुरोध तक सीमित हैं। उन डिप्लॉयमेंट के लिए जो तुरंत अपग्रेड नहीं कर सकते, प्रत्येक ट्रेडिंग पार्टनर के लिए एक अलग Camel context चलाएँ ताकि उनके बीच कोई साइनिंग सामग्री साझा न हो।

स्रोत

• CVE-2026-85296PoC

  CVE-2026-85296 को पुनरुत्पादित करने वाला एक रन करने योग्य Spring Boot और Quarkus प्रूफ-ऑफ-कॉन्सेप्ट, जो camel-as2 में क्रॉस-पार्टनर MDN साइनिंग कुंजी भ्रम (CWE-488) है, प्रभावित और ठीक किए गए बिल्ड के साथ।