CVE-2026-85296

总结

Apache Camel AS2 组件中存在数据元素暴露给错误会话的漏洞。此问题影响 Apache Camel：从 4.0.0 到 4.18.5 之前，从 4.19.0 到 4.22.1 之前。属于单个请求的签名材料被存储在跨请求共享的状态中，而不是仅限于正在处理的请求。在部署服务于多个贸易伙伴的情况下，并发或连续的请求因此可能观察到彼此的材料，并且消息处置通知（Message Disposition Notification）可能使用并非该回执所对应伙伴的密钥进行签名。其结果是跨伙伴密钥混淆：回执被归因于错误的伙伴，并且在处理一个伙伴的交换时使用了另一个伙伴的签名材料。AS2 部署在设计上通常是多伙伴的，因此该条件由普通的并发流量即可触发，而非攻击者必须刻意安排的事情。升级到 Apache Camel 4.23.0，该版本修复了此问题。使用 4.18.x LTS 发布流版本的用户应升级到 4.18.5。使用 4.22.x LTS 发布流版本的用户应升级到 4.22.1。现在，按请求的签名密钥在 ResponseMDN 中仅限于正在处理的请求。对于无法立即升级的部署，请为每个贸易伙伴运行单独的 Camel 上下文，以便它们之间不共享任何签名材料。

来源

• CVE-2026-85296PoC

  可运行的 Spring Boot 和 Quarkus 概念验证，复现 CVE-2026-85296，即 camel-as2 跨合作伙伴 MDN 签名密钥混淆（CWE-488），包含受影响版本和修复版本构建。