CVE-2026-85296

요약

Apache Camel AS2 컴포넌트의 잘못된 세션에 데이터 요소 노출 취약점. 이 문제는 Apache Camel에 영향을 미칩니다: 4.0.0부터 4.18.5 이전, 4.19.0부터 4.22.1 이전. 개별 요청에 속한 서명 자료가 처리 중인 요청에 국한되지 않고 요청 간에 공유되는 상태에 저장되었습니다. 따라서 하나 이상의 거래 파트너를 서비스하는 배포에서는 동시 또는 연속 요청이 서로의 자료를 볼 수 있었고, MDN(Message Disposition Notification)이 해당 영수증의 대상이 아닌 다른 파트너의 키로 서명될 수 있었습니다. 그 결과 파트너 간 키 혼동이 발생합니다: 잘못된 파트너에게 귀속되는 영수증, 그리고 한 파트너의 교환을 처리하는 동안 다른 파트너의 서명 자료가 사용되는 상황입니다. AS2 배포는 일반적으로 설계상 다중 파트너 환경이므로, 이 조건은 공격자가 별도로 조성해야 하는 것이 아니라 일상적인 동시 트래픽에 의해 도달됩니다. 이 문제를 수정한 Apache Camel 4.23.0으로 업그레이드하십시오. 4.18.x LTS 릴리스 스트림 사용자는 4.18.5로 업그레이드해야 합니다. 4.22.x LTS 릴리스 스트림 사용자는 4.22.1로 업그레이드해야 합니다. 이제 요청별 서명 키는 ResponseMDN에서 처리 중인 요청에 국한됩니다. 즉시 업그레이드할 수 없는 배포의 경우, 서명 자료가 이들 간에 공유되지 않도록 거래 파트너별로 별도의 Camel 컨텍스트를 실행하십시오.

소스

• CVE-2026-85296PoC

  CVE-2026-85296을 재현하는 실행 가능한 Spring Boot 및 Quarkus 개념 증명으로, camel-as2의 파트너 간 MDN 서명 키 혼동(CWE-488) 취약점을 다루며, 취약 빌드와 수정된 빌드를 포함합니다.