CVE-2026-85248

概要

共有リソースを使用した並行実行における不適切な同期（「競合状態」）の脆弱性が Apache Camel の PQC コンポーネントに存在します。この問題は Apache Camel の 4.12.0 から 4.18.5 未満、および 4.19.0 から 4.22.1 未満に影響します。プロデューサーは単一の `java.security.Signature` インスタンスを保持し、アクセスを同期せずにすべての exchange で使用していました。Signature はステートフルであり、スレッドセーフではありません。`update()` は署名または検証対象のデータを蓄積し、`verify()` はその蓄積された状態を消費します。並行する exchange が 1 つのインスタンスを共有すると、異なるメッセージの update 呼び出しと verify 呼び出しが交互に実行されるため、検証が別の exchange に属するデータに対して完了したり、部分的に蓄積されたバッファに対して完了したりする可能性があります。結果は非決定的であり、署名が実際には検証されなかったメッセージについて検証成功が報告されるケースも含まれ、これはこのコンポーネントが提供することを目的とする保証を損なうものです。この問題に到達するには、同じエンドポイントを経由する並行トラフィックが必要であり、これは負荷がかかった状態の Camel ルートにとって通常の条件です。この問題を修正した Apache Camel 4.23.0 にアップグレードしてください。4.18.x LTS リリースストリームのユーザーは 4.18.5 にアップグレードしてください。4.22.x LTS リリースストリームのユーザーは 4.22.1 にアップグレードしてください。Signature インスタンスは並行する exchange 間で共有されなくなりました。直ちにアップグレードできないデプロイメントでは、影響を受けるルートを単一の並行コンシューマーに制限し、2 つの exchange が同時にインスタンスを使用しないようにしてください。

ソース

• CVE-2026-85248PoC

  CVE-2026-85248（camel-pqcの並行Signature競合によりML-DSA署名検証がバイパスされる問題）の再現可能なSpring BootおよびQuarkusの再現プログラム。影響を受けるビルドと修正済みビルドを含む。