CVE-2026-85248

Riepilogo

Vulnerabilità di esecuzione concorrente con risorsa condivisa e sincronizzazione impropria ('Race Condition') nel componente PQC di Apache Camel. Il problema riguarda Apache Camel: dalla 4.12.0 precedente alla 4.18.5, dalla 4.19.0 precedente alla 4.22.1. Il producer manteneva una singola istanza di `java.security.Signature` e la utilizzava per ogni exchange senza sincronizzare l'accesso. `Signature` è stateful e non è thread-safe: `update()` accumula i dati da firmare o verificare, e `verify()` consuma quello stato accumulato. Con exchange concorrenti che condividono un'unica istanza, le chiamate `update` e `verify` di messaggi diversi si interlacciano, per cui una verifica può completarsi su dati appartenenti a un altro exchange, oppure su un buffer parzialmente accumulato. L'esito è non deterministico e include il caso in cui una verifica riporta successo per un messaggio la cui firma non è mai stata effettivamente controllata, il che vanifica la garanzia che il componente esiste per fornire. Per raggiungere la condizione è necessario traffico concorrente attraverso lo stesso endpoint, che è la condizione ordinaria per una route Camel sotto carico. Aggiornare ad Apache Camel 4.23.0, che risolve il problema. Gli utenti del ramo di rilascio LTS 4.18.x devono aggiornare alla 4.18.5. Gli utenti del ramo di rilascio LTS 4.22.x devono aggiornare alla 4.22.1. L'istanza di `Signature` non è più condivisa tra exchange concorrenti. Per le installazioni che non possono aggiornare immediatamente, limitare la route interessata a un singolo consumer concorrente, in modo che due exchange non utilizzino l'istanza contemporaneamente.

Fonti

• CVE-2026-85248PoC

  Reproducer eseguibile per Spring Boot e Quarkus per CVE-2026-85248, una race condition concorrente sulla firma in camel-pqc che causa il bypass della verifica della firma ML-DSA, con build affette e corrette.