CVE-2026-85248

Nome do Software Vulnerável e Versões Afetadas Apache Camel versões 4.12.0 até 4.18.4 Apache Camel versões 4.19.0 até 4.22.0

Description Existe uma condição de corrida (race condition) no componente PQC onde o produtor utiliza uma única instância de java.security.Signature para cada troca sem a sincronização adequada. Como a classe Signature mantém estado e não é segura para threads, a função update() (que acumula dados) e a função verify() (que consome o estado) podem se intercalar quando ocorrem trocas simultâneas. Este comportamento não determinístico pode resultar em uma verificação relatando sucesso para uma mensagem cuja assinatura não foi efetivamente verificada, comprometendo as garantias de segurança do componente. Este problema é desencadeado por tráfego concorrente através do mesmo endpoint.

Recommendations Atualizar as versões do Apache Camel 4.12.0 até 4.18.4 para 4.18.5. Atualizar as versões do Apache Camel 4.19.0 até 4.22.0 para 4.22.1. Atualizar para a versão 4.23.0 do Apache Camel. Restringir a rota afetada a um único consumidor concorrente para evitar que múltiplas trocas utilizem a instância java.security.Signature simultaneamente.