CVE-2026-85245

Riepilogo

Vulnerabilità di esposizione di un elemento dati alla sessione errata nel componente Apache Camel Thrift. Il problema riguarda Apache Camel: dalla 4.0.0 precedente alla 4.18.5, dalla 4.19.0 precedente alla 4.22.1. Il formato dati Thrift deserializzava i dati in ingresso nella defaultInstance condivisa del tipo di destinazione anziché in una copia nuova, e restituiva tale oggetto condiviso come corpo dello scambio. Poiché l'istanza è condivisa a livello di processo, lo stato scritto durante la deserializzazione di un messaggio rimaneva sull'oggetto ed era visibile a ogni messaggio successivo che utilizzava lo stesso tipo. I campi assenti da un payload successivo conservavano i valori del messaggio precedente, per cui il contenuto appartenente a un mittente poteva essere letto durante l'elaborazione del messaggio di un altro mittente, e scambi concorrenti potevano osservare lo stato parzialmente scritto l'uno dell'altro. In un deployment che serve più tenant o utenti tramite la stessa route, ciò costituisce divulgazione dei dati di una parte a un'altra. Aggiornare ad Apache Camel 4.23.0, che risolve il problema. Gli utenti sul ramo delle release LTS 4.18.x dovrebbero aggiornare alla 4.18.5. Gli utenti sul ramo delle release LTS 4.22.x dovrebbero aggiornare alla 4.22.1. La deserializzazione ora avviene in una copia, quindi ogni scambio ottiene la propria istanza e nessuno stato viene trasferito tra i messaggi. Per i deployment che non possono aggiornare immediatamente, copiare il corpo deserializzato in una nuova istanza subito dopo l'esecuzione del formato dati e non conservare riferimenti all'oggetto restituito.

Fonti

• CVE-2026-85245PoC

  Proof-of-concept eseguibile in Spring Boot che riproduce CVE-2026-85245, una divulgazione di dati cross-exchange in camel-thrift, con confronto tra versione affetta e corretta e note di mitigazione.