CVE-2026-85248

요약

Apache Camel PQC 컴포넌트에서 공유 리소스를 부적절하게 동기화하여 동시 실행하는 취약점('경쟁 조건')이 발생합니다. 이 문제는 Apache Camel 4.12.0부터 4.18.5 이전, 4.19.0부터 4.22.1 이전 버전에 영향을 미칩니다. 프로듀서는 단일 `java.security.Signature` 인스턴스를 보유하고 접근을 동기화하지 않은 채 모든 exchange에 사용했습니다. Signature는 상태를 가지며 스레드 안전하지 않습니다. `update()`는 서명하거나 검증할 데이터를 누적하고, `verify()`는 그 누적된 상태를 소비합니다. 동시 exchange가 하나의 인스턴스를 공유하면 서로 다른 메시지의 update 및 verify 호출이 뒤섞여, 검증이 다른 exchange에 속한 데이터에 대해 완료되거나 부분적으로 누적된 버퍼에 대해 완료될 수 있습니다. 그 결과는 비결정적이며, 서명이 실제로 검증된 적 없는 메시지에 대해 검증이 성공을 보고하는 경우도 포함되는데, 이는 이 컴포넌트가 제공하기 위해 존재하는 보장을 무력화합니다. 이 취약점에 도달하려면 동일한 엔드포인트를 통한 동시 트래픽이 필요하며, 이는 부하 상태의 Camel 라우트에서 일반적인 조건입니다. 이 문제를 수정한 Apache Camel 4.23.0으로 업그레이드하십시오. 4.18.x LTS 릴리스 스트림 사용자는 4.18.5로 업그레이드해야 합니다. 4.22.x LTS 릴리스 스트림 사용자는 4.22.1로 업그레이드해야 합니다. Signature 인스턴스는 더 이상 동시 exchange 간에 공유되지 않습니다. 즉시 업그레이드할 수 없는 배포의 경우, 두 exchange가 동시에 인스턴스를 사용하지 않도록 영향을 받는 라우트를 단일 동시 컨슈머로 제한하십시오.

소스

• CVE-2026-85248PoC

  CVE-2026-85248에 대한 실행 가능한 Spring Boot 및 Quarkus 재현 프로그램으로, ML-DSA 서명 검증 우회를 일으키는 camel-pqc 동시 Signature 경쟁 조건을 다루며, 취약 빌드와 수정된 빌드를 포함합니다.