CVE-2026-85248
Vulnerabilidad de ejecución concurrente mediante un recurso compartido con sincronización inadecuada ('Race Condition') en el componente PQC de Apache Camel.
Este problema afecta a Apache Camel: desde la 4.12.0 anterior a la 4.18.5, y desde la 4.19.0 anterior a la 4.22.1.
El productor mantenía una única instancia de java.security.Signature y la utilizaba para cada intercambio sin sincronizar el acceso. Signature tiene estado y no es thread-safe: update() acumula los datos que se van a firmar o verificar, y verify() consume ese estado acumulado.
Leer descripción completaMostrar menos
Con intercambios concurrentes que comparten una misma instancia, las llamadas update y verify de distintos mensajes se intercalan, de modo que una verificación puede completarse con datos que pertenecen a otro intercambio, o con un búfer acumulado solo parcialmente. El resultado es no determinista e incluye una verificación que informa de éxito para un mensaje cuya firma nunca se comprobó realmente, lo que anula la garantía para la que existe el componente. Para explotarlo se requiere tráfico concurrente a través del mismo endpoint, que es la condición habitual de una ruta de Camel bajo carga.
Actualice a Apache Camel 4.23.0, que corrige el problema. Los usuarios de la serie LTS 4.18.x deben actualizar a la 4.18.5. Los usuarios de la serie LTS 4.22.x deben actualizar a la 4.22.1. La instancia de Signature ya no se comparte entre intercambios concurrentes. En despliegues que no puedan actualizarse de inmediato, restrinja la ruta afectada a un único consumidor concurrente para que no haya dos intercambios que usen la instancia a la vez.
Traducción automática del texto original de NVD (en inglés).
CVSS
- Puntuación base
- 5.9
- Versión
- 3.1
- Vector
- CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:N/I:H/A:N
Probabilidad de explotación (EPSS)
- Probabilidad de explotación en los próximos 30 días
- 0.36 %
- Percentil entre todas las CVEs puntuadas
- 29
- Fecha de la puntuación
- 20/10/2026
EPSS (Exploit Prediction Scoring System, de FIRST) estima la probabilidad de que una vulnerabilidad sea explotada en 30 días. Complementa a CVSS (impacto) y a CISA KEV (explotación confirmada).
Exploits públicos
Hay código de explotación o plantillas de detección públicos. No es lo mismo que explotación activa confirmada (KEV), pero aumenta el riesgo: parchee con prioridad.
- Prueba de concepto en GitHub (no verificada) · Lista de pruebas de concepto en GitHub
⚠️ Las pruebas de concepto de GitHub no están verificadas: algunas son falsas o contienen malware. No las ejecute nunca fuera de un laboratorio aislado.
Técnicas ATT&CK
Cómo se explota esta vulnerabilidad y qué consigue el atacante, en el lenguaje de MITRE ATT&CK.
- Explotación
T1190Exploit Public-Facing Applicationinitial access75 % - Impacto principal
T1565Data Manipulationimpact60 %
Vector AV:N/PR:N/UI:N apunta a T1190; la condición de carrera puede hacer que una verificación dé éxito sin comprobar la firma, lo que implica manipulación de datos.
Inferido por nuestro agente de análisis a partir de la descripción oficial, el vector CVSS y la CWE, y comprobado por un supervisor. Puede contener errores.
Mitigaciones ATT&CK que cubren estas técnicas
Tecnologías afectadas (1)
⚠ Inferidas por IA a partir de la descripción — NVD aún no ha analizado esta CVE; no son CPE verificados.
CWE
- CWE-362
Referencias
JSON original (NVD)
Mostrar
{
"id": "CVE-2026-85248",
"cveTags": [],
"metrics": {
"ssvcV203": [
{
"source": "134c704f-9b21-4f2e-91b3-4a467353bcc0",
"ssvcData": {
"id": "CVE-2026-85248",
"role": "CISA Coordinator",
"options": [
{
"exploitation": "none"
},
{
"automatable": "no"
},
{
"technicalImpact": "partial"
}
],
"version": "2.0.3",
"timestamp": "2026-10-19T16:58:20.318907Z"
}
}
],
"cvssMetricV31": [
{
"type": "Secondary",
"source": "security@apache.org",
"cvssData": {
"scope": "UNCHANGED",
"version": "3.1",
"baseScore": 5.9,
"attackVector": "NETWORK",
"baseSeverity": "MEDIUM",
"vectorString": "CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:N/I:H/A:N",
"integrityImpact": "HIGH",
"userInteraction": "NONE",
"attackComplexity": "HIGH",
"availabilityImpact": "NONE",
"privilegesRequired": "NONE",
"confidentialityImpact": "NONE"
},
"impactScore": 3.6,
"exploitabilityScore": 2.2
}
]
},
"affected": [
{
"source": "security@apache.org",
"affectedData": [
{
"vendor": "Apache Software Foundation",
"product": "Apache Camel",
"versions": [
{
"status": "affected",
"version": "4.12.0",
"lessThan": "4.18.5",
"versionType": "maven"
},
{
"status": "affected",
"version": "4.19.0",
"lessThan": "4.22.1",
"versionType": "maven"
},
{
"status": "unaffected",
"version": "4.18.5",
"versionType": "maven"
},
{
"status": "unaffected",
"version": "4.22.1",
"versionType": "maven"
},
{
"status": "unaffected",
"version": "4.23.0",
"versionType": "maven"
}
],
"packageURL": "pkg:maven/org.apache.camel/camel-pqc",
"packageName": "org.apache.camel:camel-pqc",
"collectionURL": "https://repo.maven.apache.org/maven2",
"defaultStatus": "unaffected"
}
]
}
],
"published": "2026-10-19T11:17:22.970",
"references": [
{
"url": "https://camel.apache.org/security/CVE-2026-85248.html",
"source": "security@apache.org"
},
{
"url": "https://github.com/apache/camel/pull/25825",
"source": "security@apache.org"
},
{
"url": "https://github.com/apache/camel/pull/25850",
"source": "security@apache.org"
},
{
"url": "https://github.com/apache/camel/pull/25851",
"source": "security@apache.org"
},
{
"url": "https://issues.apache.org/jira/browse/CAMEL-24445",
"source": "security@apache.org"
}
],
"vulnStatus": "Awaiting Analysis",
"weaknesses": [
{
"type": "Secondary",
"source": "security@apache.org",
"description": [
{
"lang": "en",
"value": "CWE-362"
}
]
}
],
"descriptions": [
{
"lang": "en",
"value": "Concurrent Execution using Shared Resource with Improper Synchronization ('Race Condition') vulnerability in Apache Camel PQC component.\n\nThis issue affects Apache Camel: from 4.12.0 before 4.18.5, from 4.19.0 before 4.22.1.\n\n\n\n\nThe producer held a single java.security.Signature instance and used it for every exchange without synchronizing access. Signature is stateful and is not thread safe: update() accumulates the data to be signed or verified, and verify() consumes that accumulated state. With concurrent exchanges sharing one instance the update and verify calls of different messages interleave, so a verification can complete against data that belongs to another exchange, or against a partially accumulated buffer. The outcome is non-deterministic and includes a verification reporting success for a message whose signature was never actually checked, which defeats the guarantee the component exists to provide. Reaching it requires concurrent traffic through the same endpoint, which is the ordinary condition for a Camel route under load.\n\nUpgrade to Apache Camel 4.23.0, which fixes the issue. Users on the 4.18.x LTS releases stream should upgrade to 4.18.5. Users on the 4.22.x LTS releases stream should upgrade to 4.22.1. The Signature instance is no longer shared across concurrent exchanges. For deployments that cannot upgrade immediately, restrict the affected route to a single concurrent consumer so that no two exchanges use the instance at once."
}
],
"lastModified": "2026-10-19T20:45:51.597",
"sourceIdentifier": "security@apache.org"
}