CVE-2026-85248

Резюме

Уязвимость одновременного выполнения с использованием общего ресурса при неправильной синхронизации ('состояние гонки') в компоненте PQC Apache Camel. Проблема затрагивает Apache Camel: с 4.12.0 до 4.18.5, с 4.19.0 до 4.22.1. Производитель (producer) хранил единственный экземпляр `java.security.Signature` и использовал его для каждого обмена (exchange) без синхронизации доступа. `Signature` является stateful и не потокобезопасным: `update()` накапливает данные для подписи или проверки, а `verify()` использует это накопленное состояние. При одновременных обменах, использующих один экземпляр, вызовы update и verify разных сообщений чередуются, поэтому проверка может завершиться на данных, принадлежащих другому обмену, или на частично накопленном буфере. Результат недетерминирован и включает случай, когда проверка сообщает об успехе для сообщения, подпись которого фактически не проверялась, что подрывает гарантию, ради которой существует компонент. Для этого требуется одновременный трафик через одну и ту же конечную точку, что является обычным условием для маршрута Camel под нагрузкой. Обновитесь до Apache Camel 4.23.0, где проблема исправлена. Пользователям ветки LTS 4.18.x следует обновиться до 4.18.5. Пользователям ветки LTS 4.22.x следует обновиться до 4.22.1. Экземпляр `Signature` больше не разделяется между одновременными обменами. Для развёртываний, которые не могут обновиться немедленно, ограничьте затронутый маршрут одним одновременным потребителем (consumer), чтобы никакие два обмена не использовали экземпляр одновременно.

Источники

• CVE-2026-85248PoC

  Рабочий воспроизводитель на Spring Boot и Quarkus для CVE-2026-85248 — состояние гонки при параллельной работе с Signature в camel-pqc, приводящее к обходу проверки подписи ML-DSA, с уязвимой и исправленной сборками.