CVE-2026-85245

Resumo

Vulnerabilidade de Exposição de Elemento de Dados à Sessão Errada no componente Apache Camel Thrift. Este problema afeta o Apache Camel: de 4.0.0 antes de 4.18.5, de 4.19.0 antes de 4.22.1. O formato de dados Thrift fazia a desserialização dos dados recebidos na defaultInstance compartilhada do tipo de destino, em vez de em uma cópia nova, e retornava esse objeto compartilhado como o corpo do exchange. Como a instância é compartilhada em todo o processo, o estado gravado durante a desserialização de uma mensagem permanecia no objeto e era visível para todas as mensagens posteriores que usassem o mesmo tipo. Campos ausentes em um payload posterior mantinham os valores da mensagem anterior, de modo que o conteúdo pertencente a um remetente podia ser lido durante o processamento da mensagem de outro remetente, e exchanges concorrentes podiam observar o estado parcialmente gravado umas das outras. Em uma implantação que atende mais de um tenant ou usuário pela mesma rota, isso é a divulgação dos dados de uma parte para outra. Atualize para o Apache Camel 4.23.0, que corrige o problema. Usuários do fluxo de versões LTS 4.18.x devem atualizar para 4.18.5. Usuários do fluxo de versões LTS 4.22.x devem atualizar para 4.22.1. A desserialização agora ocorre em uma cópia, de modo que cada exchange recebe sua própria instância e nenhum estado é transportado entre mensagens. Para implantações que não podem atualizar imediatamente, copie o corpo desserializado para uma nova instância logo após a execução do formato de dados, e não retenha referências ao objeto retornado.

Fontes

• CVE-2026-85245PoC

  Prova de conceito executável em Spring Boot que reproduz o CVE-2026-85245, uma divulgação de dados entre exchanges no camel-thrift, com comparação entre versões afetadas e corrigidas e notas de mitigação.