CVE-2026-85245

总结

Apache Camel Thrift 组件中存在“数据元素暴露给错误会话”漏洞。此问题影响 Apache Camel：从 4.0.0 起至 4.18.5 之前，从 4.19.0 起至 4.22.1 之前。Thrift 数据格式将传入数据反序列化到目标类型的共享 defaultInstance 中，而不是反序列化到新副本中，并将该共享对象作为交换体返回。由于该实例在整个进程范围内共享，反序列化一条消息时写入的状态会保留在对象上，并对之后使用同一类型的每条消息可见。后续载荷中缺失的字段会保留上一条消息的值，因此在处理另一个发送者的消息时可能读取到属于某个发送者的内容，并且并发交换可能观察到彼此部分写入的状态。在通过同一路由为多个租户或用户提供服务的部署中，这会导致一方的数据泄露给另一方。请升级到 Apache Camel 4.23.0，该版本修复了此问题。使用 4.18.x LTS 发布流的用户应升级到 4.18.5。使用 4.22.x LTS 发布流的用户应升级到 4.22.1。现在反序列化会反序列化到副本中，因此每个交换都会获得自己的实例，消息之间不会传递任何状态。对于无法立即升级的部署，请在数据格式运行后立即将反序列化后的正文复制到新实例中，并且不要保留对返回对象的引用。

来源

• CVE-2026-85245PoC

  可运行的 Spring Boot 概念验证，复现 CVE-2026-85245——一个 camel-thrift 跨交换数据泄露漏洞，包含受影响版本与修复版本的对比以及缓解措施说明。