CVE-2026-85245

Резюме

Уязвимость раскрытия элемента данных в неправильной сессии в компоненте Apache Camel Thrift. Проблема затрагивает Apache Camel: с 4.0.0 до 4.18.5, с 4.19.0 до 4.22.1. Формат данных Thrift выполнял демаршалинг входящих данных в общий defaultInstance целевого типа, а не в новую копию, и возвращал этот общий объект как тело обмена (exchange body). Поскольку экземпляр является общим в масштабе процесса, состояние, записанное при демаршалинге одного сообщения, оставалось на объекте и было видно каждому последующему сообщению, использовавшему тот же тип. Поля, отсутствующие в последующей полезной нагрузке, сохраняли значения предыдущего сообщения, поэтому содержимое, принадлежащее одному отправителю, могло быть прочитано при обработке сообщения другого отправителя, а параллельные обмены могли наблюдать частично записанное состояние друг друга. В развёртывании, обслуживающем более одного арендатора или пользователя через один и тот же маршрут, это означает раскрытие данных одной стороны другой. Обновитесь до Apache Camel 4.23.0, где проблема исправлена. Пользователям ветки LTS-релизов 4.18.x следует обновиться до 4.18.5. Пользователям ветки LTS-релизов 4.22.x следует обновиться до 4.22.1. Теперь демаршалинг выполняет десериализацию в копию, поэтому каждый обмен получает собственный экземпляр и никакое состояние не переносится между сообщениями. Для развёртываний, которые не могут обновиться немедленно, копируйте демаршалированное тело в новый экземпляр сразу после выполнения формата данных и не сохраняйте ссылки на возвращённый объект.

Источники

• CVE-2026-85245PoC

  Запускаемый proof-of-concept на Spring Boot, воспроизводящий CVE-2026-85245 — раскрытие данных при кросс-обмене в camel-thrift, со сравнением уязвимой и исправленной версий и рекомендациями по устранению.