CVE-2026-85296

概要

Apache Camel AS2コンポーネントにおける「データ要素の誤ったセッションへの露出」脆弱性。この問題はApache Camelに影響します: 4.0.0から4.18.5より前、4.19.0から4.22.1より前。個々のリクエストに属する署名素材が、処理中のリクエストに限定されるのではなく、リクエスト間で共有される状態に保存されていました。複数の取引パートナーにサービスを提供するデプロイメントでは、並行または連続するリクエストが互いの素材を参照できる可能性があり、Message Disposition Notificationが、その受領が対象としていたパートナーとは別のパートナーの鍵で署名されることがありました。その結果、パートナー間の鍵の混同が生じます: 誤ったパートナーに帰属する受領通知、およびあるパートナーの取引を処理する際に別のパートナーの署名素材が使用される事態です。AS2のデプロイメントは通常、設計上マルチパートナーであるため、この条件は攻撃者が何かを仕組むことなく、通常の並行トラフィックによって到達されます。この問題を修正したApache Camel 4.23.0にアップグレードしてください。4.18.x LTSリリースストリームのユーザーは4.18.5にアップグレードしてください。4.22.x LTSリリースストリームのユーザーは4.22.1にアップグレードしてください。リクエストごとの署名鍵は、ResponseMDN内で処理中のリクエストに限定されるようになりました。直ちにアップグレードできないデプロイメントでは、取引パートナーごとに別々のCamelコンテキストを実行し、パートナー間で署名素材が共有されないようにしてください。

ソース

• CVE-2026-85296PoC

  CVE-2026-85296（camel-as2 におけるパートナー間の MDN 署名鍵混同、CWE-488）を再現する、実行可能な Spring Boot および Quarkus の概念実証。脆弱なビルドと修正済みビルドを含みます。