CVE-2026-85296

Resumo

Vulnerabilidade de Exposição de Elemento de Dados à Sessão Errada no componente AS2 do Apache Camel. Este problema afeta o Apache Camel: de 4.0.0 antes de 4.18.5, de 4.19.0 antes de 4.22.1. O material de assinatura pertencente a uma solicitação individual era armazenado em estado compartilhado entre solicitações, em vez de ficar confinado à solicitação em processamento. Quando uma implantação atende mais de um parceiro comercial, solicitações concorrentes ou sucessivas podiam, portanto, observar o material umas das outras, e uma Notificação de Disposição de Mensagem podia ser assinada com a chave de um parceiro diferente daquele a quem o recibo se destinava. O resultado é a confusão de chaves entre parceiros: um recibo atribuível ao parceiro errado, e o material de assinatura de um parceiro utilizado durante o tratamento da troca de outro parceiro. As implantações AS2 são tipicamente multi-parceiro por conceção, pelo que a condição é atingida por tráfego concorrente normal e não por algo que o atacante tenha de preparar. Atualize para o Apache Camel 4.23.0, que corrige o problema. Os utilizadores do fluxo de versões LTS 4.18.x devem atualizar para 4.18.5. Os utilizadores do fluxo de versões LTS 4.22.x devem atualizar para 4.22.1. As chaves de assinatura por solicitação estão agora confinadas à solicitação em processamento no ResponseMDN. Para implantações que não possam atualizar imediatamente, execute um contexto Camel separado por parceiro comercial, de modo que nenhum material de assinatura seja compartilhado entre eles.

Fontes

• CVE-2026-85296PoC

  Prova de conceito executável em Spring Boot e Quarkus que reproduz o CVE-2026-85296, uma confusão de chave de assinatura MDN entre parceiros no camel-as2 (CWE-488), com builds afetados e corrigidos.