CVE-2026-85296
Apache Camel: путаница ключей подписи между партнёрами в Camel-AS2 из-за общего состояния на уровне запроса
- Опубликовано
- 19 окт. 2026 г.
- Обновлено
- 19 окт. 2026 г.
- Назначение CNA
- apache
- Наблюдены доказательства
- 20 окт. 2026 г.
Первичный CVSS
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:L/A:NНизкий · следующие 30 дней
- Процентиль
- 32,9 %
- Дата модели
- 25 окт. 2026 г.
EPSS – это статистическая оценка, а не достоверность или мера воздействия. Объедините это с CVSS, статусом KEV, воздействием и вашей средой.
Резюме
Уязвимость раскрытия элемента данных в чужой сессии в компоненте AS2 Apache Camel. Проблема затрагивает Apache Camel: с 4.0.0 до 4.18.5, с 4.19.0 до 4.22.1. Материал подписи, принадлежащий отдельному запросу, хранился в состоянии, общем для всех запросов, а не ограничивался обрабатываемым запросом. Поэтому в развёртывании, обслуживающем более одного торгового партнёра, параллельные или последовательные запросы могли видеть материал друг друга, и уведомление о диспозиции сообщения (Message Disposition Notification) могло быть подписано ключом партнёра, отличного от того, для которого предназначалась квитанция. Результат — путаница ключей между партнёрами: квитанция, приписываемая не тому партнёру, и использование материала подписи одного партнёра при обработке обмена другого партнёра. Развёртывания AS2 по своей конструкции обычно являются многопартнёрскими, поэтому условие достигается при обычном параллельном трафике, а не требует каких-либо действий со стороны атакующего. Обновитесь до Apache Camel 4.23.0, где эта проблема исправлена. Пользователям ветки LTS-релизов 4.18.x следует обновиться до 4.18.5. Пользователям ветки LTS-релизов 4.22.x следует обновиться до 4.22.1. Ключи подписи для каждого запроса теперь ограничены обрабатываемым запросом в ResponseMDN. Для развёртываний, которые не могут обновиться немедленно, запускайте отдельный контекст Camel для каждого торгового партнёра, чтобы материал подписи не разделялся между ними.
Источники
Работающий proof-of-concept на Spring Boot и Quarkus, воспроизводящий CVE-2026-85296 — путаницу ключей подписи MDN между партнёрами в camel-as2 (CWE-488), с уязвимой и исправленной сборками.
Ответственное использование
Используйте информацию об уязвимостях только в тех системах, которыми вы владеете или имеете право тестировать. Kitploit ссылается на метаданные общедоступных исследований и не хранит код эксплойта или вредоносные полезные данные.