Krytyczny Odebrany

CVE-2026-78162

opublikowano: 19.10.2026, 13:17

modyfikacja: 19.10.2026, 22:45

Ocena CVSS

10.0

Krytyczny · v4.0

Oficjalne źródła

wektor: CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X

>_ Opis

Tłumaczenie automatyczne – może zawierać nieścisłości.

Deserializacja luki w zabezpieczeniach niezaufanych danych w Apache Camel.

Ten problem dotyczy Apache Camel: od 4.0.0 przed 4.18.5, od 4.19.0 przed 4.22.1.

Komponent camel-hazelcast stosuje domyślną konfigurację Hazelcast JavaSerializationFilterConfig do instancji, które tworzy na podstawie własnej konfiguracji, co stanowi ochronę wprowadzoną w CVE-2026-43865. Ta zmiana nie dotarła do dwóch ścieżek konfiguracyjnych, które Camel sam buduje, więc te ścieżki w dalszym ciągu tworzyły instancje Hazelcast, których deserializacja Java jest nieograniczona. ReplicatedHazelcastAggregationRepository rozszerza HazelcastAggregationRepository, ale zastępuje doStart() bez wywoływania super.doStart(), zachowując własną kopię bloku ładowania początkowego i dlatego nigdy nie otrzymała filtra: trasa używająca go bez dostarczania hazelcastInstance uruchamia element Hazelcast, który deserializuje wartości odczytane z kopii zapasowej ReplicatedMap bez ograniczeń klasowych. HazelcastDefaultComponent#getOrCreateHzClientInstance() tworzy własną konfigurację ClientConfig, gdy wybrano hazelcastMode=client i nie podano ani ClientConfig, do którego istnieje odwołanie, ani hazelcastConfigUri, a także nie zastosowano żadnego filtra, więc punkty końcowe trybu klienta zachowywały się inaczej niż punkty końcowe trybu węzła dla skądinąd identycznej konfiguracji. W obu przypadkach osoba atakująca, która może opublikować dane w klastrze Hazelcast, do którego jest dołączona instancja, której dotyczy problem, może spowodować deserializację wybranego przez siebie serializowanego obiektu Java we własnej warstwie serializacji Hazelcast, zanim Camel przetworzy wymianę, co spowoduje zdalne wykonanie kodu. Klastry Hazelcast nie mają domyślnie włączonego uwierzytelniania ani protokołu TLS. Wybranie trybu klienta to wybór topologii, a nie opcja zabezpieczeń, więc żadna ze ścieżek nie wymagała, aby wdrożenie uwzględniało niebezpieczne zachowanie.

Użytkownikom zaleca się aktualizację do wersji 4.23.0, która rozwiązuje problem. Jeśli użytkownicy korzystają ze strumienia wydań 4.22.x, sugeruje się im aktualizację do wersji 4.22.1. Jeśli użytkownicy korzystają ze strumienia wydań 4.18.x, sugeruje się im aktualizację do wersji 4.18.5. Strumień wersji 4.14.x dobiegł końca, zanim problem został rozwiązany i nie otrzymał poprawki, więc wdrożenia na tych liniach muszą zostać przeniesione do obsługiwanej wersji. W przypadku wdrożeń, których nie można uaktualnić natychmiast, podaj jawną konfigurację Hazelcast zawierającą JavaSerializationFilterConfig lub wstrzyknij wstępnie zbudowaną HazelcastInstance, ponieważ konfiguracja dostarczona przez użytkownika nigdy nie jest zastępowana przez Camel. Alternatywnie ustaw filtr obejmujący całą maszynę JVM -Djdk.serialFilter=!java.net.;java.;javax.;org.apache.camel.;!* i włącz uwierzytelnianie klastra Hazelcast i TLS, aby ograniczyć liczbę osób mogących uzyskać dostęp do klastra.

Deserialization of Untrusted Data vulnerability in Apache Camel.

This issue affects Apache Camel: from 4.0.0 before 4.18.5, from 4.19.0 before 4.22.1.

The camel-hazelcast component applies a default Hazelcast JavaSerializationFilterConfig to the instances it creates from its own configuration, a protection introduced by CVE-2026-43865. That change did not reach two of the configuration paths Camel builds itself, so those paths continued to create Hazelcast instances whose Java deserialization is unrestricted. ReplicatedHazelcastAggregationRepository extends HazelcastAggregationRepository but overrides doStart() without calling super.doStart(), keeping its own copy of the bootstrap block, and therefore never received the filter: a route using it without supplying a hazelcastInstance starts a Hazelcast member that deserializes values read from the backing ReplicatedMap with no class restriction. HazelcastDefaultComponent#getOrCreateHzClientInstance() builds its own ClientConfig when hazelcastMode=client is selected and neither a referenced ClientConfig nor hazelcastConfigUri is supplied, and likewise applied no filter, so client-mode endpoints behaved differently from node-mode endpoints for an otherwise identical configuration. In both cases an attacker able to publish into the Hazelcast cluster that the affected instance is attached to can cause a serialized Java object of their choosing to be deserialized inside Hazelcast's own serialization layer, before Camel processes the exchange, resulting in remote code execution. Hazelcast clusters have neither authentication nor TLS enabled by default. Selecting client mode is a topology choice rather than a security option, so neither path required the deployment to opt in to unsafe behaviour.

Users are recommended to upgrade to version 4.23.0, which fixes the issue. If users are on the 4.22.x releases stream, then they are suggested to upgrade to 4.22.1. If users are on the 4.18.x releases stream, then they are suggested to upgrade to 4.18.5. The 4.14.x releases stream and earlier reached end of life before this issue was resolved and will not receive a fix, so deployments on those lines must move to a supported release. For deployments that cannot upgrade immediately, supply an explicit Hazelcast configuration carrying a JavaSerializationFilterConfig, or inject a pre-built HazelcastInstance, since a user-supplied configuration is never overwritten by Camel. Alternatively set the JVM-wide filter -Djdk.serialFilter=!java.net.;java.;javax.;org.apache.camel.;!* and enable Hazelcast cluster authentication and TLS to restrict who can reach the cluster.

>_ Słabości (CWE)

CWE-502

>_ Referencje

Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.

This product uses the NVD API but is not endorsed or certified by the NVD.

CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.

NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org

<< baza_cve