CVE-2026-85296

Vulnerabilità di Esposizione di Elemento Dati alla Sessione Sbagliata nel componente Apache Camel AS2.

Questo problema riguarda Apache Camel: dalla versione 4.0.0 prima della 4.18.5, dalla 4.19.0 prima della 4.22.1.

Il materiale di firma appartenente a una singola richiesta veniva memorizzato in uno stato condiviso tra le richieste anziché confinato alla richiesta in fase di elaborazione. In ambienti in cui una distribuzione serve più di un partner commerciale, richieste concorrenti o successive potrebbero quindi osservare il materiale degli altri, e una Message Disposition Notification potrebbe essere firmata con la chiave di un partner diverso da quello a cui era destinata la ricevuta. Il risultato è confusione tra chiavi tra partner: una ricevuta attribuibile al partner sbagliato, e materiale di firma di un partner utilizzato durante la gestione di uno scambio di un altro partner. Le distribuzioni AS2 sono tipicamente multi-partner per progettazione, quindi questa condizione si verifica con traffico concorrente ordinario piuttosto che per qualcosa che l’attaccante deve organizzare.

Aggiornare a Apache Camel 4.23.0, che risolve il problema. Gli utenti delle versioni LTS 4.18.x dovrebbero aggiornare alla 4.18.5. Gli utenti delle versioni LTS 4.22.x dovrebbero aggiornare alla 4.22.1. Le chiavi di firma per richiesta sono ora confinate alla richiesta in fase di elaborazione in ResponseMDN. Per le distribuzioni che non possono aggiornare immediatamente, si consiglia di eseguire un contesto Camel separato per ogni partner commerciale, in modo che nessun materiale di firma venga condiviso tra di essi.