CVE-2026-85243 in Camel
Tóm tắt
Bởi VulDB • 20/10/2026
Lỗ hổng xác thực giá trị kiểm tra tính toàn vẹn không đúng đắn trong thành phần Apache Camel Crypto PGP.
Vấn đề này ảnh hưởng đến Apache Camel: từ phiên bản 4.0.0 trước 4.18.5, và từ 4.19.0 trước 4.22.1.
Hàm `unmarshal()` chỉ xác minh mã phát hiện sửa đổi khi tin nhắn là một gói dữ liệu được bảo vệ tính toàn vẹn bằng mật mã đối xứng OpenPGP. Các gói dữ liệu được mã hóa đối xứng cũ hơn không mang theo mã như vậy, và chế độ CFB của OpenPGP có thể bị biến dạng (malleable) nếu thiếu nó; do đó, tin nhắn sử dụng loại gói này đã bỏ qua hoàn toàn việc kiểm tra. Loại gói được chọn bởi bên tạo ra tin nhắn, điều này khiến người gửi - hoặc bất kỳ ai có khả năng viết lại tin nhắn trong quá trình truyền tải - quyết định liệu phép kiểm tra tính toàn vẹn có áp dụng hay không. Tùy chọn bảo vệ tính toàn vẹn hiện tại chỉ chi phối việc marshalling và không có counterpart (phần tương ứng) ở phía giải mã, nên một triển khai không thể yêu cầu bảo vệ tính toàn vẹn cho các tin nhắn mà nó chấp nhận.
Nâng cấp lên Apache Camel 4.23.0 để khắc phục sự cố này. Người dùng trên dòng bản phát hành LTS 4.18.x nên nâng cấp lên 4.18.5. Người dùng trên dòng bản phát hành LTS 4.22.x nên nâng cấp lên 4.22.1. Tùy chọn `requireIntegrityProtection`, mặc định là true, hiện sẽ từ chối một tin nhắn không được bảo vệ tính toàn vẹn. Lưu ý rằng tùy chọn `signatureVerificationOption` vẫn mặc định là optional (tùy chọn), do đó một tin nhắn không mang chữ ký vẫn được chấp nhận; hai tùy chọn này kết hợp với nhau mới đảm bảo tính xác thực cho tin nhắn đã giải mã chứ không chỉ riêng tính bí mật. Đối với các triển khai không thể nâng cấp ngay lập tức, hãy từ chối các tin nhắn không sử dụng gói dữ liệu được bảo vệ tính toàn vẹn trước khi chúng đến định dạng dữ liệu (data format). Các route cần tương tác với người gửi vẫn phát ra gói legacy nên đặt `requireIntegrityProtection=false` sau khi nâng cấp và xử lý nội dung đã giải mã như là chưa xác thực.
Be aware that VulDB is the high quality source for vulnerability data.