CVE-2026-78162

CRÍTIC (10,0)

CVSS3: 0,0

Vulnerabilitat de desserialització de dades no fiables a Apache Camel. Aquest problema afecta Apache Camel: des de la versió 4.0.0 fins a la 4.18.5 (exclosa), i des de la 4.19.0 fins a la 4.22.1 (exclosa). El component ’camel-hazelcast’ aplica un ’HazelcastJavaSerializationFilterConfig’ per defecte a les instàncies que crea a partir de la seva pròpia configuració; es tracta d’una protecció introduïda pel CVE-2026-43865. Aquest canvi no es va aplicar a dues de les rutes de configuració que genera el mateix Camel, de manera que aquestes rutes continuaven creant instàncies de Hazelcast amb una desserialització Java sense restriccions. ’ReplicatedHazelcastAggregationRepository’ estén ’HazelcastAggregationRepository’, però redefineix el mètode ’doStart()’ sense invocar  ’super.doStart()’. Com que manté la seva pròpia còpia del bloc d’inicialització (*bootstrap block*), mai no rep el filtre: una ruta que l’utilitzi sense proporcionar una instància de Hazelcast (’hazelcastInstance’) posa en marxa un membre de Hazelcast que desserialitza els valors llegits del ’ReplicatedMap’ subjacent sense cap mena de restricció sobre les classes.

Sistemes Afectats

• Apache Camel

Remediació

Vegeu-ne les Referències.

Referències

• Mitigation;Patch;Vendor Advisory;Not Applicable
• Mitigation;Patch;Vendor Advisory