CVE-2026-85296

Riepilogo

Vulnerabilità di esposizione di un elemento dati alla sessione errata nel componente AS2 di Apache Camel. Il problema riguarda Apache Camel: dalla 4.0.0 precedente alla 4.18.5, dalla 4.19.0 precedente alla 4.22.1. Il materiale di firma appartenente a una singola richiesta veniva memorizzato in uno stato condiviso tra le richieste anziché essere confinato alla richiesta in elaborazione. Laddove un deployment serve più di un trading partner, richieste concorrenti o successive potevano quindi osservare il materiale l'una dell'altra, e una Message Disposition Notification poteva essere firmata con la chiave di un partner diverso da quello a cui era destinata la ricevuta. Il risultato è una confusione di chiavi tra partner: una ricevuta attribuibile al partner sbagliato e il materiale di firma di un partner utilizzato durante la gestione dello scambio di un altro partner. I deployment AS2 sono tipicamente multi-partner per progettazione, quindi la condizione viene raggiunta da traffico concorrente ordinario anziché da qualcosa che l'attaccante debba predisporre. Eseguire l'aggiornamento ad Apache Camel 4.23.0, che corregge il problema. Gli utenti del flusso di release LTS 4.18.x dovrebbero aggiornare alla 4.18.5. Gli utenti del flusso di release LTS 4.22.x dovrebbero aggiornare alla 4.22.1. Le chiavi di firma per richiesta sono ora confinate alla richiesta in elaborazione in ResponseMDN. Per i deployment che non possono aggiornare immediatamente, eseguire un contesto Camel separato per ciascun trading partner in modo che nessun materiale di firma sia condiviso tra di essi.

Fonti

• CVE-2026-85296PoC

  Proof-of-concept eseguibile per Spring Boot e Quarkus che riproduce CVE-2026-85296, una confusione di chiavi di firma MDN tra partner in camel-as2 (CWE-488), con build vulnerabili e corrette.