CVE-2026-85245
Exposición de elemento de datos a una sesión incorrecta (Exposure of Data Element to Wrong Session), vulnerabilidad en el componente Thrift de Apache Camel.
Este problema afecta a Apache Camel: desde la 4.0.0 hasta antes de la 4.18.5, y desde la 4.19.0 hasta antes de la 4.22.1.
El formato de datos Thrift deserializaba los datos entrantes en la defaultInstance compartida del tipo de destino, en lugar de en una copia nueva, y devolvía ese objeto compartido como cuerpo del intercambio.
Leer descripción completaMostrar menos
Como la instancia es compartida en todo el proceso, el estado escrito durante la deserialización de un mensaje permanecía en el objeto y era visible para todos los mensajes posteriores que utilizaran el mismo tipo. Los campos ausentes en una carga posterior conservaban los valores del mensaje anterior, por lo que el contenido perteneciente a un emisor podía leerse mientras se procesaba el mensaje de otro emisor, y los intercambios concurrentes podían observar el estado parcialmente escrito de los demás. En una implantación que sirve a más de un inquilino o usuario a través de la misma ruta, esto supone la revelación de los datos de una parte a otra.
Actualice a Apache Camel 4.23.0, que corrige el problema. Los usuarios de las versiones LTS de la serie 4.18.x deben actualizar a la 4.18.5. Los usuarios de las versiones LTS de la serie 4.22.x deben actualizar a la 4.22.1. La deserialización ahora se realiza en una copia, de modo que cada intercambio obtiene su propia instancia y no se arrastra ningún estado entre mensajes. En las implantaciones que no puedan actualizarse de inmediato, copie el cuerpo deserializado en una instancia nueva justo después de que se ejecute el formato de datos, y no conserve referencias al objeto devuelto.
Traducción automática del texto original de NVD (en inglés).
CVSS
- Puntuación base
- 5.9
- Versión
- 3.1
- Vector
- CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:N/A:N
Probabilidad de explotación (EPSS)
- Probabilidad de explotación en los próximos 30 días
- 0.45 %
- Percentil entre todas las CVEs puntuadas
- 38
- Fecha de la puntuación
- 20/10/2026
EPSS (Exploit Prediction Scoring System, de FIRST) estima la probabilidad de que una vulnerabilidad sea explotada en 30 días. Complementa a CVSS (impacto) y a CISA KEV (explotación confirmada).
Exploits públicos
Hay código de explotación o plantillas de detección públicos. No es lo mismo que explotación activa confirmada (KEV), pero aumenta el riesgo: parchee con prioridad.
- Prueba de concepto en GitHub (no verificada) · Lista de pruebas de concepto en GitHub
⚠️ Las pruebas de concepto de GitHub no están verificadas: algunas son falsas o contienen malware. No las ejecute nunca fuera de un laboratorio aislado.
Técnicas ATT&CK
Cómo se explota esta vulnerabilidad y qué consigue el atacante, en el lenguaje de MITRE ATT&CK.
- Explotación
T1190Exploit Public-Facing Applicationinitial access85 % - Impacto principal
T1005Data from Local Systemcollection55 %
Vector AV:N/PR:N/UI:N indica explotación remota sin interacción; el texto describe lectura de datos de otro remitente por estado compartido en defaultInstance.
Inferido por nuestro agente de análisis a partir de la descripción oficial, el vector CVSS y la CWE, y comprobado por un supervisor. Puede contener errores.
Mitigaciones ATT&CK que cubren estas técnicas
Tecnologías afectadas (1)
⚠ Inferidas por IA a partir de la descripción — NVD aún no ha analizado esta CVE; no son CPE verificados.
CWE
- CWE-488
Referencias
JSON original (NVD)
Mostrar
{
"id": "CVE-2026-85245",
"cveTags": [],
"metrics": {
"ssvcV203": [
{
"source": "134c704f-9b21-4f2e-91b3-4a467353bcc0",
"ssvcData": {
"id": "CVE-2026-85245",
"role": "CISA Coordinator",
"options": [
{
"exploitation": "none"
},
{
"automatable": "no"
},
{
"technicalImpact": "partial"
}
],
"version": "2.0.3",
"timestamp": "2026-10-19T18:32:23.405683Z"
}
}
],
"cvssMetricV31": [
{
"type": "Secondary",
"source": "security@apache.org",
"cvssData": {
"scope": "UNCHANGED",
"version": "3.1",
"baseScore": 5.9,
"attackVector": "NETWORK",
"baseSeverity": "MEDIUM",
"vectorString": "CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:N/A:N",
"integrityImpact": "NONE",
"userInteraction": "NONE",
"attackComplexity": "HIGH",
"availabilityImpact": "NONE",
"privilegesRequired": "NONE",
"confidentialityImpact": "HIGH"
},
"impactScore": 3.6,
"exploitabilityScore": 2.2
}
]
},
"affected": [
{
"source": "security@apache.org",
"affectedData": [
{
"vendor": "Apache Software Foundation",
"product": "Apache Camel",
"versions": [
{
"status": "affected",
"version": "4.0.0",
"lessThan": "4.18.5",
"versionType": "maven"
},
{
"status": "affected",
"version": "4.19.0",
"lessThan": "4.22.1",
"versionType": "maven"
},
{
"status": "unaffected",
"version": "4.18.5",
"versionType": "maven"
},
{
"status": "unaffected",
"version": "4.22.1",
"versionType": "maven"
},
{
"status": "unaffected",
"version": "4.23.0",
"versionType": "maven"
}
],
"packageURL": "pkg:maven/org.apache.camel/camel-thrift",
"packageName": "org.apache.camel:camel-thrift",
"collectionURL": "https://repo.maven.apache.org/maven2",
"defaultStatus": "unaffected"
}
]
}
],
"published": "2026-10-19T11:17:22.527",
"references": [
{
"url": "https://camel.apache.org/security/CVE-2026-85245.html",
"source": "security@apache.org"
},
{
"url": "https://github.com/apache/camel/pull/25823",
"source": "security@apache.org"
},
{
"url": "https://github.com/apache/camel/pull/25940",
"source": "security@apache.org"
},
{
"url": "https://github.com/apache/camel/pull/25942",
"source": "security@apache.org"
},
{
"url": "https://issues.apache.org/jira/browse/CAMEL-24442",
"source": "security@apache.org"
}
],
"vulnStatus": "Awaiting Analysis",
"weaknesses": [
{
"type": "Secondary",
"source": "security@apache.org",
"description": [
{
"lang": "en",
"value": "CWE-488"
}
]
}
],
"descriptions": [
{
"lang": "en",
"value": "Exposure of Data Element to Wrong Session vulnerability in Apache Camel Thrift component.\n\n\n\nThis issue affects Apache Camel: from 4.0.0 before 4.18.5, from 4.19.0 before 4.22.1.\n\nThe Thrift data format unmarshalled incoming data into the shared defaultInstance of the target type rather than into a fresh copy, and returned that shared object as the exchange body. Because the instance is shared process-wide, state written while unmarshalling one message stayed on the object and was visible to every later message that used the same type. Fields absent from a later payload retained the previous message's values, so content belonging to one sender could be read while processing another sender's message, and concurrent exchanges could observe each other's partially written state. In a deployment that serves more than one tenant or user through the same route, that is disclosure of one party's data to another.\n\nUpgrade to Apache Camel 4.23.0, which fixes the issue. Users on the 4.18.x LTS releases stream should upgrade to 4.18.5. Users on the 4.22.x LTS releases stream should upgrade to 4.22.1. Unmarshalling now deserializes into a copy, so each exchange gets its own instance and no state carries between messages. For deployments that cannot upgrade immediately, copy the unmarshalled body into a new instance immediately after the data format runs, and do not retain references to the returned object."
}
],
"lastModified": "2026-10-19T20:45:51.597",
"sourceIdentifier": "security@apache.org"
}