CVE-2026-85243

Резюме

Уязвимость неправильной проверки значения контроля целостности в компоненте Apache Camel Crypto PGP. Проблема затрагивает Apache Camel: с 4.0.0 до 4.18.5, с 4.19.0 до 4.22.1. Метод unmarshal() проверял код обнаружения модификации только тогда, когда сообщение представляло собой симметрично зашифрованный пакет данных с защитой целостности OpenPGP. Более старый симметрично зашифрованный пакет данных не содержит такого кода, а режим CFB в OpenPGP без него подвержен изменениям, поэтому сообщение, использующее этот пакет, полностью пропускало проверку. Тип пакета выбирает тот, кто создал сообщение, что оставляло отправителю — или любому, кто способен переписать сообщение при передаче, — решать, применяется ли проверка целостности вообще. Существующая опция integrity управляет только маршалингом и не имела аналога на стороне расшифровки, поэтому развёртывание не могло требовать защиты целостности для принимаемых сообщений. Обновитесь до Apache Camel 4.23.0, где эта проблема исправлена. Пользователям ветки LTS-релизов 4.18.x следует обновиться до 4.18.5. Пользователям ветки LTS-релизов 4.22.x следует обновиться до 4.22.1. Опция requireIntegrityProtection, по умолчанию равная true, теперь отклоняет сообщение без защиты целостности. Обратите внимание, что signatureVerificationOption по-прежнему по умолчанию имеет значение optional, поэтому сообщение без подписи принимается; именно две эти опции вместе обеспечивают расшифрованному сообщению подлинность, а не только конфиденциальность. Для развёртываний, которые не могут обновиться немедленно, отклоняйте сообщения, не использующие пакет с защитой целостности, до того, как они достигнут формата данных. Маршрутам, которым необходимо взаимодействовать с отправителем, всё ещё отправляющим устаревший пакет, следует после обновления установить requireIntegrityProtection=false и рассматривать расшифрованное содержимое как неаутентифицированное.

Источники

• CVE-2026-85243PoC

  Рабочий прототип на Spring Boot и Quarkus для CVE-2026-85243, демонстрирующий понижение уровня проверки целостности в Apache Camel camel-crypto-pgp и его исправление.