CVE-2026-85245

Apache Camel Thrift komponentində Məlumat Elementinin Yanlış Sessiyaya Açılması zəifliyi. Bu problem Apache Camel-in aşağıdakı versiyalarına təsir edir: 4.0.0-dan 4.18.5-ə qədər və 4.19.0-dan 4.22.1-ə qədər. Thrift məlumat formatı daxil olan məlumatları yeni bir nüsxəyə yox, hədəf tipinin paylaşılmış defaultInstance obyektinə unmarshal edirdi və həmin paylaşılmış obyekti mübadilə gövdəsi (exchange body) kimi qaytarırdı. Nümunə bütün proses səviyyəsində paylaşıldığı üçün, bir mesajın unmarshalling prosesi zamanı yazılan vəziyyət obyekt üzərində qalır və eyni tipi istifadə edən sonrakı hər bir mesaj üçün görünürdü. Sonrakı yükləmələrdə mövcud olmayan sahələr əvvəlki mesajın dəyərlərini saxlayırdı, buna görə də bir göndərəndən gələn məzmun digər göndərənin mesajı emal edilərkən oxuna bilərdi və paralel mübadilələr bir-birinin qismən yazılmış vəziyyətini müşahidə edə bilərdi. Eyni marşrut vasitəsilə birdən çox kirayəçiyə (tenant) və ya istifadəçiyə xidmət göstərən tətbiqlərdə bu, bir tərəfin məlumatlarının digərinə açıqlanmasına səbəb olur. Problemi aradan qaldıran Apache Camel 4.23.0 versiyasına yeniləyin. 4.18.x LTS versiyalarını istifadə edən istifadəçilər 4.18.5 versiyasına, 4.22.x LTS versiyalarını istifadə edənlər isə 4.22.1 versiyasına yeniləməlidir. Artıq unmarshalling prosesi məlumatları nüsxəyə deserializasiya edir, beləliklə, hər bir mübadilə öz nümunəsini alır və mesajlar arasında heç bir vəziyyət ötürülmür. Dərhal yenilənməsi mümkün olmayan sistemlərdə, məlumat formatı işlədikdən dərhal sonra unmarshal edilmiş gövdəni yeni bir nümunəyə kopyalayın və qaytarılan obyektə istinadları saxlamayın.