CVE-2026-85248

Resumo

Vulnerabilidade de Execução Concorrente usando Recurso Compartilhado com Sincronização Imprópria ('Race Condition') no componente PQC do Apache Camel. Este problema afeta o Apache Camel: de 4.12.0 antes de 4.18.5, de 4.19.0 antes de 4.22.1. O produtor mantinha uma única instância de java.security.Signature e a utilizava para cada exchange sem sincronizar o acesso. Signature é stateful e não é thread-safe: update() acumula os dados a serem assinados ou verificados, e verify() consome esse estado acumulado. Com exchanges concorrentes compartilhando uma única instância, as chamadas update e verify de mensagens diferentes se intercalam, de modo que uma verificação pode ser concluída com base em dados pertencentes a outra exchange, ou em um buffer parcialmente acumulado. O resultado é não determinístico e inclui uma verificação que reporta sucesso para uma mensagem cuja assinatura nunca foi realmente verificada, o que anula a garantia que o componente existe para fornecer. Alcançá-lo requer tráfego concorrente através do mesmo endpoint, que é a condição ordinária para uma rota Camel sob carga. Atualize para o Apache Camel 4.23.0, que corrige o problema. Usuários no fluxo de releases LTS 4.18.x devem atualizar para 4.18.5. Usuários no fluxo de releases LTS 4.22.x devem atualizar para 4.22.1. A instância de Signature não é mais compartilhada entre exchanges concorrentes. Para implantações que não podem atualizar imediatamente, restrinja a rota afetada a um único consumidor concorrente, de modo que duas exchanges nunca usem a instância ao mesmo tempo.

Fontes

• CVE-2026-85248PoC

  Reprodutor executável em Spring Boot e Quarkus para a CVE-2026-85248, uma condição de corrida de Signature concorrente no camel-pqc que causa bypass na verificação de assinatura ML-DSA, com builds afetados e corrigidos.