Wysoki Odebrany

CVE-2026-88900

opublikowano: 19.10.2026, 14:17

modyfikacja: 19.10.2026, 22:45

Ocena CVSS

8.8

Wysoki · v3.1

Oficjalne źródła

wektor: CVSS:3.1/AV:A/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

>_ Opis

Tłumaczenie automatyczne – może zawierać nieścisłości.

Deserializacja luki w zabezpieczeniach niezaufanych danych w komponencie Apache Camel Camel-Jgroups.

Ten problem dotyczy Apache Camel: od 4.0.0 przed 4.18.5, od 4.19.0 przed 4.22.1.

JGroupsEndpoint.createExchange(Message), którą CamelJGroupsReceiver wywołuje dla każdej wiadomości otrzymanej przez konsumenta jgroups przed skierowaniem wymiany, ustaw treść wymiany z org.jgroups.Message.getObject(). W przypadku komunikatu ObjectMessage, który jest typem komunikatu wysyłanego przez producenta Camel jgroups, JGroups Java deserializuje ładunek poprzez ObjectInputStream we własnym wątku odbiorczym po nadejściu komunikatu, a getObject() zwraca wynikowy obiekt. Na tej ścieżce nie zastosowano żadnego filtra java.io.ObjectInputFilter, chyba że we wdrożeniu ustawiono filtr serializacji obejmujący całą maszynę JVM: moduł camel-jgroups nie zainstalował żadnego, a wersje JGroups dostarczone z wydaniami, których dotyczy problem, nie stosują żadnego własnego, więc można utworzyć instancję dowolnej klasy możliwej do serializacji w ścieżce klas aplikacji i uruchomić wywołania zwrotne deserializacji. Jeśli kanał lub opcja channelProperties nie jest skonfigurowana, konsument tworzy swój kanał za pomocą nowej funkcji JChannel(), standardowego stosu protokołów JGroups, który realizuje transmisję multiemisji przez UDP bez protokołu AUTH i bez szyfrowania, dzięki czemu każdy host mogący uzyskać dostęp do grupy multiemisji klastra lub portu wiązania może dołączyć do klastra i wysyłać wiadomości do konsumenta bez poświadczeń. Taki host mógłby wysłać spreparowany serializowany obiekt, który prowadziłby do zdalnego wykonania kodu w procesie Camel, gdy w ścieżce klasy znajdował się użyteczny łańcuch gadżetów deserializacji, a po stronie konsumenta nie była wymagana żadna opcja inna niż domyślna. Ponieważ JGroups materializuje obiekt przed uruchomieniem odbiornika Camela, kontrola przeprowadzona przez Camela może jedynie sprawdzić wynik deserializacji i nie może zatrzymać kodu działającego podczas deserializacji, więc zamknięcie problemu wymaga również kontroli, która ma zastosowanie przed odczytaniem ładunku, jak opisano w środkach zaradczych. Eksploatacja wymaga dostępu sieciowego do grupy multiemisji lub portu wiązania klastra, co przy domyślnym transporcie multiemisji UDP oznacza host w sąsiedniej sieci oraz użyteczny łańcuch gadżetów w ścieżce klas, dlatego też ważność jest oceniana jako wysoka, a nie krytyczna.

Użytkownikom zaleca się aktualizację do wersji 4.23.0, która rozwiązuje problem. Jeśli użytkownicy korzystają ze strumienia wydań 4.22.x, sugeruje się im aktualizację do wersji 4.22.1. Jeśli użytkownicy korzystają ze strumienia wydań 4.18.x, sugeruje się im aktualizację do wersji 4.18.5. Strumień wydań 4.14.x i wcześniejszych, a także linie wydań 4.15.x do 4.17.x i 4.19.x do 4.21.x dobiegły końca przed rozwiązaniem tego problemu i nie otrzymają poprawki, więc wdrożenia na tych liniach muszą zostać przeniesione do obsługiwanej wersji.

Deserialization of Untrusted Data vulnerability in Apache Camel Camel-Jgroups component.

This issue affects Apache Camel: from 4.0.0 before 4.18.5, from 4.19.0 before 4.22.1.

JGroupsEndpoint.createExchange(Message), which CamelJGroupsReceiver calls for every message the jgroups consumer receives before the exchange is routed, set the exchange body from org.jgroups.Message.getObject(). For an ObjectMessage, which is the message type the Camel jgroups producer sends, JGroups Java-deserializes the payload through an ObjectInputStream on its own receive thread as the message arrives, and getObject() returns the resulting object. No java.io.ObjectInputFilter was applied on that path unless the deployment had set a JVM-wide serialization filter: camel-jgroups installed none, and the JGroups versions shipped with the affected releases apply none of their own, so any serializable class on the application classpath could be instantiated and its deserialization callbacks run. Unless a channel or the channelProperties option is configured, the consumer creates its channel with new JChannel(), the stock JGroups protocol stack, which multicasts over UDP without the AUTH protocol and without encryption, so any host able to reach the cluster's multicast group or bind port can join the cluster and send messages to the consumer without credentials. Such a host could send a crafted serialized object that leads to remote code execution in the Camel process when a usable deserialization gadget chain is present on the classpath, and no non-default option was required on the consumer. Because JGroups materializes the object before Camel's receiver runs, a check performed by Camel can only inspect the deserialized result and cannot stop code that runs during deserialization, so closing the issue also requires a control that applies before the payload is read, as described in the mitigation. Exploitation requires network access to the cluster's multicast group or bind port, which with the default UDP multicast transport means a host on an adjacent network, and a usable gadget chain on the classpath, which is why the severity is assessed as high rather than critical.

Users are recommended to upgrade to version 4.23.0, which fixes the issue. If users are on the 4.22.x releases stream, then they are suggested to upgrade to 4.22.1. If users are on the 4.18.x releases stream, then they are suggested to upgrade to 4.18.5. The 4.14.x releases stream and earlier, and the 4.15.x to 4.17.x and 4.19.x to 4.21.x release lines, reached end of life before this issue was resolved and will not receive a fix, so deployments on those lines must move to a supported release.

>_ Słabości (CWE)

CWE-502

>_ Referencje

Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.

This product uses the NVD API but is not endorsed or certified by the NVD.

CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.

NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org

<< baza_cve