CVE-2026-85296

Apache Camel AS2 komponentində Məlumat Elementinin Yanlış Sessiyaya Açılması zəifliyi. Bu problem Apache Camel-in aşağıdakı versiyalarına təsir edir: 4.0.0-dan 4.18.5-ə qədər və 4.19.0-dan 4.22.1-ə qədər. Fərdi sorğuya aid olan imzalama materialları emal olunan sorğu ilə məhdudlaşdırılmaq əvəzinə, sorğular arasında paylaşılmış vəziyyətdə saxlanılırdı. Tətbiqin birdən çox ticarət tərəfdaşına xidmət etdiyi hallarda, eyni vaxtda və ya ardıcıl gələn sorğular bir-birinin materiallarını görə bilərdi və Mesajın Təyin Bildirişi (Message Disposition Notification), qəbz kimin üçün nəzərdə tutulubsa, ondan başqa bir tərəfdaşın açarı ilə imzalanmış ola bilərdi. Nəticədə tərəfdaşlar arası açar qarışıqlığı yaranır: qəbz yanlış tərəfdaşa aid edilir və bir tərəfdaşın mübadiləsi emal edilərkən digər tərəfdaşın imzalama materialından istifadə olunur. AS2 tətbiqləri adətən dizayn baxımından çoxtərəfli olduğu üçün bu şərt hücumçunun hər hansı hazırlığı olmadan, adi paralel trafik zamanı baş verir. Problemi aradan qaldıran Apache Camel 4.23.0 versiyasına yeniləyin. 4.18.x LTS versiyalarını istifadə edən istifadəçilər 4.18.5 versiyasına, 4.22.x LTS versiyalarını istifadə edənlər isə 4.22.1 versiyasına yeniləməlidir. Artıq ResponseMDN daxilində hər sorğu üçün imzalama açarları yalnız emal olunan sorğu ilə məhdudlaşdırılır. Dərhal yenilənməsi mümkün olmayan tətbiqlər üçün, imzalama materiallarının paylaşılmaması məqsədilə hər bir ticarət tərəfdaşı üçün ayrıca Camel konteksti işlədin.