CVE-2026-85243

Apache Camel Crypto PGP komponentində Bütövlük Yoxlama Dəyərinin (Integrity Check Value) yanlış təsdiqlənməsi zəifliyi aşkar edilmişdir. Bu problem Apache Camel-in aşağıdakı versiyalarına təsir edir: 4.0.0-dan 4.18.5-ə qədər və 4.19.0-dan 4.22.1-ə qədər olan versiyalar. unmarshal() funksiyası modifikasiyanın aşkarlanma kodunu yalnız mesaj OpenPGP simmetrik şifrələnmiş bütövlüyü qorunan məlumat paketi olduqda yoxlayırdı. Köhnə simmetrik şifrələnmiş məlumat paketləri belə bir koda malik deyil və OpenPGP-nin CFB rejimi bu kod olmadan dəyişdirilə biləndir, buna görə də həmin paketdən istifadə edən mesajlar yoxlamanı tamamilə ötürürdü. Paket növü mesajı hazırlayan tərəf tərəfindən seçilir ki, bu da göndərən şəxsə və ya mesajı ötürmə zamanı yenidən yaza bilən hər hansı bir şəxsə bütövlük yoxlamasının tətbiq olunub-olunmayacağına qərar vermək imkanı verirdi. Mövcud bütövlük seçimi yalnız marshalling prosesini idarə edirdi və dekripsiya tərəfində qarşı variantı yox idi, buna görə də sistem qəbul etdiyi mesajlarda bütövlük qorumasını tələb edə bilmirdi. Problemi aradan qaldıran Apache Camel 4.23.0 versiyasına yüksəldin. 4.18.x LTS versiyalarını istifadə edən istifadəçilər 4.18.5 versiyasına, 4.22.x LTS versiyalarını istifadə edən istifadəçilər isə 4.22.1 versiyasına yüksəltmə etməlidirlər. Artıq standart olaraq 'true' dəyəri ilə təyin edilmiş requireIntegrityProtection seçimi bütövlüyü qorunmayan mesajları rədd edir. Nəzərə alın ki, signatureVerificationOption hələ də standart olaraq opsionaldır, buna görə də imzası olmayan mesajlar qəbul edilir; dekripsiya edilmiş mesajın yalnız məxfiliyini deyil, həm də autentikliyini təmin edən məhz bu iki seçimin birlikdə istifadəsidir. Təcili yüksəltmə edə bilməyən sistemlər üçün, bütövlüyü qorunan paketdən istifadə etməyən mesajlar məlumat formatına çatmamış rədd edilməlidir. Hələ də köhnə paketləri göndərən tərəflərlə qarşılıqlı işləməli olan marşrutlar (routes), yüksəltmədən sonra requireIntegrityProtection=false parametrini təyin etməli və dekripsiya edilmiş məzmunu autentifikasiya olunmamış kimi qəbul etməlidirlər.