CVE-2026-85243
Vulnerabilidad de validación inadecuada del valor de comprobación de integridad en el componente Crypto PGP de Apache Camel.
Este problema afecta a Apache Camel: desde la 4.0.0 hasta antes de la 4.18.5, y desde la 4.19.0 hasta antes de la 4.22.1.
unmarshal() verificaba el código de detección de modificaciones solo cuando el mensaje era un paquete de datos protegidos en integridad y cifrados simétricamente de OpenPGP.
Leer descripción completaMostrar menos
El paquete de datos cifrados simétricamente más antiguo no incluye ningún código de este tipo, y el modo CFB de OpenPGP es maleable sin él, por lo que un mensaje que utilizara ese paquete omitía por completo la comprobación. El tipo de paquete lo elige quien produce el mensaje, lo que dejaba al remitente —o a cualquiera capaz de reescribir el mensaje en tránsito— decidir si la comprobación de integridad se aplicaba o no. La opción de integridad existente solo regula el marshalling y no tenía un equivalente en el descifrado, por lo que una implantación no podía exigir protección de integridad en los mensajes que aceptaba.
Actualice a Apache Camel 4.23.0, que corrige el problema. Los usuarios de la serie LTS 4.18.x deben actualizar a la 4.18.5. Los usuarios de la serie LTS 4.22.x deben actualizar a la 4.22.1. Una nueva opción requireIntegrityProtection, con valor predeterminado true, rechaza ahora un mensaje que no esté protegido en integridad. Tenga en cuenta que signatureVerificationOption sigue teniendo como valor predeterminado optional, por lo que se acepta un mensaje sin firma; ambas opciones juntas son las que dan autenticidad al contenido descifrado, y no solo confidencialidad. En las implantaciones que no puedan actualizarse de inmediato, rechace los mensajes que no utilicen el paquete protegido en integridad antes de que lleguen al formato de datos. Las rutas que deban interoperar con un remitente que todavía emite el paquete heredado deben establecer requireIntegrityProtection=false tras la actualización y tratar el contenido descifrado como no autenticado.
Traducción automática del texto original de NVD (en inglés).
CVSS
- Puntuación base
- 5.9
- Versión
- 3.1
- Vector
- CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:N/I:H/A:N
Probabilidad de explotación (EPSS)
- Probabilidad de explotación en los próximos 30 días
- 0.22 %
- Percentil entre todas las CVEs puntuadas
- 11
- Fecha de la puntuación
- 20/10/2026
EPSS (Exploit Prediction Scoring System, de FIRST) estima la probabilidad de que una vulnerabilidad sea explotada en 30 días. Complementa a CVSS (impacto) y a CISA KEV (explotación confirmada).
Exploits públicos
Hay código de explotación o plantillas de detección públicos. No es lo mismo que explotación activa confirmada (KEV), pero aumenta el riesgo: parchee con prioridad.
- Prueba de concepto en GitHub (no verificada) · Lista de pruebas de concepto en GitHub
⚠️ Las pruebas de concepto de GitHub no están verificadas: algunas son falsas o contienen malware. No las ejecute nunca fuera de un laboratorio aislado.
Técnicas ATT&CK
Cómo se explota esta vulnerabilidad y qué consigue el atacante, en el lenguaje de MITRE ATT&CK.
- Explotación
T1190Exploit Public-Facing Applicationinitial access95 % - Impacto principal
T1565.002Transmitted Data Manipulationimpact75 %
El vector es AV:N/PR:N/UI:N y el texto indica que el remitente o un intermediario elige el paquete sin verificación de integridad, permitiendo alterar el contenido descifrado en tránsito.
Inferido por nuestro agente de análisis a partir de la descripción oficial, el vector CVSS y la CWE, y comprobado por un supervisor. Puede contener errores.
Mitigaciones ATT&CK que cubren estas técnicas
Tecnologías afectadas (1)
⚠ Inferidas por IA a partir de la descripción — NVD aún no ha analizado esta CVE; no son CPE verificados.
CWE
- CWE-354
Referencias
JSON original (NVD)
Mostrar
{
"id": "CVE-2026-85243",
"cveTags": [],
"metrics": {
"ssvcV203": [
{
"source": "134c704f-9b21-4f2e-91b3-4a467353bcc0",
"ssvcData": {
"id": "CVE-2026-85243",
"role": "CISA Coordinator",
"options": [
{
"exploitation": "none"
},
{
"automatable": "no"
},
{
"technicalImpact": "partial"
}
],
"version": "2.0.3",
"timestamp": "2026-10-19T18:34:06.410581Z"
}
}
],
"cvssMetricV31": [
{
"type": "Secondary",
"source": "security@apache.org",
"cvssData": {
"scope": "UNCHANGED",
"version": "3.1",
"baseScore": 5.9,
"attackVector": "NETWORK",
"baseSeverity": "MEDIUM",
"vectorString": "CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:N/I:H/A:N",
"integrityImpact": "HIGH",
"userInteraction": "NONE",
"attackComplexity": "HIGH",
"availabilityImpact": "NONE",
"privilegesRequired": "NONE",
"confidentialityImpact": "NONE"
},
"impactScore": 3.6,
"exploitabilityScore": 2.2
}
]
},
"affected": [
{
"source": "security@apache.org",
"affectedData": [
{
"vendor": "Apache Software Foundation",
"product": "Apache Camel",
"versions": [
{
"status": "affected",
"version": "4.0.0",
"lessThan": "4.18.5",
"versionType": "maven"
},
{
"status": "affected",
"version": "4.19.0",
"lessThan": "4.22.1",
"versionType": "maven"
},
{
"status": "unaffected",
"version": "4.18.5",
"versionType": "maven"
},
{
"status": "unaffected",
"version": "4.22.1",
"versionType": "maven"
},
{
"status": "unaffected",
"version": "4.23.0",
"versionType": "maven"
}
],
"packageURL": "pkg:maven/org.apache.camel/camel-crypto-pgp",
"packageName": "org.apache.camel:camel-crypto-pgp",
"collectionURL": "https://repo.maven.apache.org/maven2",
"defaultStatus": "unaffected"
}
]
}
],
"published": "2026-10-19T11:17:22.367",
"references": [
{
"url": "https://camel.apache.org/security/CVE-2026-85243.html",
"source": "security@apache.org"
},
{
"url": "https://github.com/apache/camel/pull/25848",
"source": "security@apache.org"
},
{
"url": "https://github.com/apache/camel/pull/25944",
"source": "security@apache.org"
},
{
"url": "https://github.com/apache/camel/pull/25946",
"source": "security@apache.org"
},
{
"url": "https://issues.apache.org/jira/browse/CAMEL-24441",
"source": "security@apache.org"
}
],
"vulnStatus": "Awaiting Analysis",
"weaknesses": [
{
"type": "Secondary",
"source": "security@apache.org",
"description": [
{
"lang": "en",
"value": "CWE-354"
}
]
}
],
"descriptions": [
{
"lang": "en",
"value": "Improper Validation of Integrity Check Value vulnerability in Apache Camel Crypto PGP component.\n\nThis issue affects Apache Camel: from 4.0.0 before 4.18.5, from 4.19.0 before 4.22.1.\n\nunmarshal() verified the modification detection code only when the message was an OpenPGP symmetrically encrypted integrity protected data packet. The older symmetrically encrypted data packet carries no such code, and OpenPGP's CFB mode is malleable without one, so a message using that packet skipped the check altogether. The packet type is chosen by whoever produced the message, which left the sender - or anyone able to rewrite the message in transit - deciding whether the integrity check applied at all. The existing integrity option governs marshalling only and had no decrypt-side counterpart, so a deployment could not require integrity protection on the messages it accepted.\n\nUpgrade to Apache Camel 4.23.0, which fixes the issue. Users on the 4.18.x LTS releases stream should upgrade to 4.18.5. Users on the 4.22.x LTS releases stream should upgrade to 4.22.1. A requireIntegrityProtection option, defaulting to true, now rejects a message that is not integrity protected. Note that signatureVerificationOption still defaults to optional, so a message carrying no signature is accepted; the two options together are what give a decrypted message authenticity and not only confidentiality. For deployments that cannot upgrade immediately, reject messages that do not use the integrity protected packet before they reach the data format. Routes that must interoperate with a sender still emitting the legacy packet should set requireIntegrityProtection=false after upgrading, and treat the decrypted content as unauthenticated."
}
],
"lastModified": "2026-10-19T20:45:51.597",
"sourceIdentifier": "security@apache.org"
}