CVE-2026-85245

概要

Apache CamelのThriftコンポーネントにおける「データ要素の誤ったセッションへの露出」脆弱性。この問題はApache Camelの4.0.0から4.18.5より前、および4.19.0から4.22.1より前に影響します。Thriftデータフォーマットは、受信データを対象型の新規コピーではなく共有のdefaultInstanceにアンマーシャリングし、その共有オブジェクトをexchangeボディとして返していました。このインスタンスはプロセス全体で共有されるため、あるメッセージのアンマーシャリング中に書き込まれた状態がオブジェクト上に残り、同じ型を使用する後続のすべてのメッセージから参照可能でした。後続のペイロードに存在しないフィールドには前のメッセージの値が保持されるため、ある送信者に属するコンテンツが別の送信者のメッセージ処理中に読み取られる可能性があり、また並行するexchangeが互いの部分的に書き込まれた状態を観測する可能性がありました。同一ルートを通じて複数のテナントやユーザーにサービスを提供するデプロイメントでは、これは一方の当事者のデータが他方に開示されることを意味します。この問題を修正したApache Camel 4.23.0にアップグレードしてください。4.18.x LTSリリースストリームのユーザーは4.18.5にアップグレードしてください。4.22.x LTSリリースストリームのユーザーは4.22.1にアップグレードしてください。アンマーシャリングはコピーへのデシリアライズを行うようになったため、各exchangeが独自のインスタンスを取得し、メッセージ間で状態が引き継がれることはありません。直ちにアップグレードできないデプロイメントでは、データフォーマットの実行直後にアンマーシャリングされたボディを新しいインスタンスにコピーし、返されたオブジェクトへの参照を保持しないようにしてください。

ソース

• CVE-2026-85245PoC

  CVE-2026-85245（camel-thrift のクロスエクスチェンジ情報漏えい）を再現する実行可能な Spring Boot の概念実証。影響を受けるバージョンと修正済みバージョンの比較、および緩和策のメモを含む。