CVE-2026-85248

总结

Apache Camel PQC 组件中存在使用共享资源且同步不当的并发执行（“竞态条件”）漏洞。此问题影响 Apache Camel：从 4.12.0 到 4.18.5 之前，从 4.19.0 到 4.22.1 之前。生产者持有单个 java.security.Signature 实例，并在每次交换中使用它，而未对访问进行同步。Signature 是有状态的，且不是线程安全的：update() 会累积待签名或待验证的数据，而 verify() 会消耗该累积状态。当并发交换共享同一个实例时，不同消息的 update 和 verify 调用会交错执行，因此一次验证可能针对属于另一次交换的数据完成，或针对部分累积的缓冲区完成。其结果是不可预测的，包括对一条从未真正检查过签名的消息报告验证成功，这破坏了该组件存在的根本保证。要触发该问题，需要通过同一端点产生并发流量，而这正是 Camel 路由在负载下的常见状况。请升级到 Apache Camel 4.23.0，该版本修复了此问题。使用 4.18.x LTS 发布流的用户应升级到 4.18.5。使用 4.22.x LTS 发布流的用户应升级到 4.22.1。Signature 实例不再在并发交换之间共享。对于无法立即升级的部署，请将受影响的路由限制为单个并发消费者，以确保不会有两个交换同时使用该实例。

来源

• CVE-2026-85248PoC

  针对 CVE-2026-85248 的可运行 Spring Boot 和 Quarkus 复现程序，该漏洞是 camel-pqc 并发 Signature 竞态条件导致 ML-DSA 签名验证绕过，包含受影响版本与修复版本的构建。