CVE-2026-85243

Apache Camel Crypto PGP bileşeninde Bütünlük Kontrol Değeri'nin uygun şekilde doğrulanmaması zafiyeti bulunmaktadır. Bu sorun şu Apache Camel sürümlerini etkilemektedir: 4.0.0 ile 4.18.5 arası ve 4.19.0 ile 4.22.1 arası. unmarshal(), değişiklik algılama kodunu yalnızca mesaj bir OpenPGP simetrik olarak şifrelenmiş bütünlüğü korunan veri paketi olduğunda doğruluyordu. Daha eski simetrik olarak şifrelenmiş veri paketleri böyle bir kod taşımaz ve OpenPGP'nin CFB modu bu kod olmadan değiştirilebilir yapıdadır; bu nedenle söz konusu paketi kullanan bir mesaj kontrolü tamamen atlıyordu. Paket türü, mesajı üreten kişi tarafından seçilir; bu durum, bütünlük kontrolünün uygulanıp uygulanmayacağına gönderenin veya mesajı iletim sırasında yeniden yazabilen herhangi birinin karar vermesine neden olmuştur. Mevcut bütünlük seçeneği yalnızca marshalling işlemini yönetiyordu ve çözme tarafında bir karşılığı yoktu, dolayısıyla bir dağıtım kabul ettiği mesajlarda bütünlük korumasını zorunlu kılamıyordu. Sorunu gideren Apache Camel 4.23.0 sürümüne yükseltin. 4.18.x LTS yayın akışındaki kullanıcılar 4.18.5 sürümüne yükseltmelidir. 4.22.x LTS yayın akışındaki kullanıcılar 4.22.1 sürümüne yükseltmelidir. Varsayılan değeri true olan yeni bir requireIntegrityProtection seçeneği, artık bütünlüğü korunmayan mesajları reddeder. signatureVerificationOption seçeneğinin varsayılan değerinin hâlâ optional olduğunu, dolayısıyla imza taşımayan bir mesajın kabul edildiğini unutmayın; çözülmüş bir mesaja sadece gizlilik değil aynı zamanda özgünlük kazandıran şey bu iki seçeneğin birlikte kullanımıdır. Hemen yükseltme yapamayan dağıtımlar için, bütünlüğü korunan paket kullanmayan mesajların veri formatına ulaşmadan önce reddedilmesini sağlayın. Eski paketi göndermeye devam eden bir göndericiyle birlikte çalışması gereken rotalar, yükseltme sonrası requireIntegrityProtection=false şeklinde ayarlanmalı ve çözülen içerik kimliği doğrulanmamış olarak değerlendirilmelidir.