CVE-2026-85296

Apache Camel AS2 bileşeninde Veri Öğesinin Yanlış Oturuma Açılması zafiyeti bulunmaktadır. Bu sorun şu Apache Camel sürümlerini etkilemektedir: 4.0.0 ile 4.18.5 arası ve 4.19.0 ile 4.22.1 arası. Bireysel bir isteğe ait imzalama materyalleri, işlenen istekle sınırlandırılmak yerine istekler arasında paylaşılan bir durumda saklanmaktaydı. Bir dağıtım birden fazla ticaret ortağına hizmet verdiğinde, eşzamanlı veya ardışık istekler birbirlerinin materyallerini gözlemleyebilir ve bir Message Disposition Notification, makbuzun ait olduğu ortak dışındaki başka bir ortağın anahtarıyla imzalanabilirdi. Bunun sonucunda ortaklar arası anahtar karışıklığı oluşmaktadır: yanlış ortağa atfedilen bir makbuz ve bir ortağın değişimi işlenirken diğer ortağın imzalama materyalinin kullanılması söz konusudur. AS2 dağıtımları tasarım gereği genellikle çok ortaklıdır, bu nedenle bu durum saldırganın herhangi bir düzenleme yapmasına gerek kalmadan normal eşzamanlı trafikle gerçekleşebilmektedir. Sorunu gideren Apache Camel 4.23.0 sürümüne yükseltin. 4.18.x LTS yayın akışındaki kullanıcılar 4.18.5 sürümüne; 4.22.x LTS yayın akışındaki kullanıcılar ise 4.22.1 sürümüne yükseltmelidir. İstek başına imzalama anahtarları artık ResponseMDN içinde işlenen istekle sınırlandırılmıştır. Hemen yükseltme yapamayan dağıtımlar için, imzalama materyallerinin paylaşılmaması adına her ticaret ortağı için ayrı bir Camel bağlamı çalıştırın.