CVE-2026-46590
Apache Camel: Camel-PQC: تقوم مديرات دورة حياة المفاتيح في HashiCorp Vault و AWS Secrets Manager بإلغاء تسلسل بيانات تعريف المفاتيح المخزنة باستخدام java.io.ObjectInputStream بدون ObjectInputFilter (معالجة غير مكتملة لـ CVE-2026-40048)
- تم النشر
- 06/07/2026
- محدث
- 06/07/2026
- تخصيص CNA
- apache
- الأدلة المرصودة
- 07/08/2026
CVSS الأساسي
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:Hمنخفض · الثلاثين يومًا القادمة
- المئوية
- 57.0%
- تاريخ الموديل
- 15/10/2026
EPSS هو تقدير إحصائي، وليس يقينًا أو مقياسًا للتأثير. ادمجها مع CVSS وحالة KEV والتعرض وبيئتك.
ملخص
# ثغرة إلغاء تسلسل البيانات غير الموثوقة في مكوّن Apache Camel PQC ثغرة إلغاء تسلسل البيانات غير الموثوقة في مكوّن Apache Camel PQC. يحتفظ مكوّن camel-pqc ببيانات وصفية للمفاتيح ما بعد الكمومية (KeyMetadata) عبر تطبيقات KeyLifecycleManager القابلة للتوصيل. يقرأ كل من HashicorpVaultKeyLifecycleManager وAwsSecretsManagerKeyLifecycleManager تلك البيانات الوصفية من الواجهة الخلفية للأسرار المكوّنة عن طريق إلغاء تسلسل قيمة مغلّفة بـ Base64 باستخدام java.io.ObjectInputStream.readObject() خام دون ObjectInputFilter أو قائمة سماح للفئات؛ ولا يتم التحويل إلى KeyMetadata إلا بعد عودة readObject()، لذا فإن أي آثار جانبية لـ readObject() في كائن مصمّم بعناية يتم تنفيذها قبل فحص النوع. كما بقي نفس القراءة غير المفلترة لترحيل الإصدارات القديمة في FileBasedKeyLifecycleManager (لـ KeyPair وKeyMetadata المخزّنين). يمكن لأي جهة تملك صلاحية الكتابة إلى الواجهة الخلفية التي يتحكم بها المشغّل والتي تخزّن هذه القيم - مسار HashiCorp Vault KV، أو سر AWS Secrets Manager (مما يتطلب رمز Vault أو صلاحية secretsmanager:PutSecretValue) - تخزين كائن مُسلسَل مصمّم بعناية يتم إلغاء تسلسله أثناء عمليات دورة حياة المفاتيح العادية، مما قد يؤدي إلى تنفيذ كود في سياق التطبيق الذي يدير المفاتيح. هذا متابعة لمعالجة غير مكتملة لـ CVE-2026-40048 (CAMEL-23200)، والتي غيّرت FileBasedKeyLifecycleManager لتخزين البيانات الوصفية بصيغة JSON / PKCS#8 / X.509 لكنها لم تُضف ObjectInputFilter، ولم تشمل مديري Vault وAWS المتوازيين، وتركت إلغاء تسلسل ترحيل الإصدارات القديمة في FileBasedKeyLifecycleManager دون فلترة. تؤثر هذه المشكلة على Apache Camel: من 4.18.0 قبل 4.18.3، ومن 4.19.0 قبل 4.21.0. يُنصح المستخدمون بالترقية إلى الإصدار 4.21.0، الذي يصلح المشكلة. إذا كان المستخدمون على سلسلة إصدارات 4.18.x LTS، فيُقترح الترقية إلى 4.18.3. بالنسبة للنشر الذي لا يمكن ترقيته فورًا، قيّد صلاحيات الكتابة إلى الواجهة الخلفية للمفاتيح بحيث لا يمكن إلا لهوية التطبيق نفسه كتابة أسرار camel-pqc (سياسات HashiCorp Vault بأقل صلاحية وصلاحية secretsmanager:PutSecretValue في IAM)، واحتفظ بمواد مفاتيح PQC في واجهة خلفية منفصلة عن أي بيانات يمكن للجهات الأقل ثقة الكتابة إليها.
المصادر
الاستخدام المسؤول
استخدم معلومات الثغرات الأمنية فقط على الأنظمة التي تمتلكها أو المرخص لها باختبارها. يرتبط Kitploit ببيانات تعريف البحث العامة ولا يخزن أكواد الاستغلال أو الحمولات الضارة.