CVE-2026-85243

Resumo

Vulnerabilidade de Validação Imprópria do Valor de Verificação de Integridade no componente Apache Camel Crypto PGP. Este problema afeta o Apache Camel: de 4.0.0 antes de 4.18.5, de 4.19.0 antes de 4.22.1. unmarshal() verificava o código de detecção de modificação apenas quando a mensagem era um pacote de dados protegido por integridade criptografado simetricamente OpenPGP. O pacote de dados criptografado simetricamente mais antigo não carrega tal código, e o modo CFB do OpenPGP é maleável sem ele, portanto uma mensagem que usasse esse pacote ignorava a verificação por completo. O tipo de pacote é escolhido por quem produziu a mensagem, o que deixava o remetente — ou qualquer pessoa capaz de reescrever a mensagem em trânsito — decidindo se a verificação de integridade se aplicava ou não. A opção de integridade existente governa apenas o marshalling e não tinha contraparte do lado da descriptografia, portanto uma implantação não podia exigir proteção de integridade nas mensagens que aceitava. Atualize para o Apache Camel 4.23.0, que corrige o problema. Usuários do fluxo de versões LTS 4.18.x devem atualizar para 4.18.5. Usuários do fluxo de versões LTS 4.22.x devem atualizar para 4.22.1. Uma opção requireIntegrityProtection, com valor padrão true, agora rejeita uma mensagem que não esteja protegida por integridade. Observe que signatureVerificationOption ainda tem valor padrão optional, portanto uma mensagem sem assinatura é aceita; as duas opções juntas são o que conferem a uma mensagem descriptografada autenticidade e não apenas confidencialidade. Para implantações que não podem atualizar imediatamente, rejeite mensagens que não usem o pacote protegido por integridade antes que elas cheguem ao formato de dados. Rotas que precisam interoperar com um remetente que ainda emite o pacote legado devem definir requireIntegrityProtection=false após a atualização, e tratar o conteúdo descriptografado como não autenticado.

Fontes

• CVE-2026-85243PoC

  Prova de conceito executável em Spring Boot e Quarkus para a CVE-2026-85243, demonstrando o downgrade da verificação de integridade do camel-crypto-pgp do Apache Camel e sua correção.