CVE-2026-78162

ملخص

ثغرة إزالة تسلسل البيانات غير الموثوقة في Apache Camel. تؤثر هذه المشكلة على Apache Camel: من 4.0.0 قبل 4.18.5، ومن 4.19.0 قبل 4.22.1. يطبّق المكوّن camel-hazelcast إعداد Hazelcast JavaSerializationFilterConfig افتراضيًا على النسخ التي ينشئها من إعداداته الخاصة، وهي حماية أُدخلت عبر CVE-2026-43865. لم يصل هذا التغيير إلى اثنين من مسارات الإعداد التي يبنيها Camel بنفسه، لذا استمرت تلك المسارات في إنشاء نسخ Hazelcast تكون فيها إزالة تسلسل Java غير مقيّدة. تمتد ReplicatedHazelcastAggregationRepository من HazelcastAggregationRepository لكنها تتجاوز doStart() دون استدعاء super.doStart()، محتفظةً بنسختها الخاصة من كتلة التهيئة الأولية، وبالتالي لم تتلقَّ الفلتر قط: فالمسار الذي يستخدمها دون توفير hazelcastInstance يبدأ عضو Hazelcast يقوم بإزالة تسلسل القيم المقروءة من ReplicatedMap الداعم دون أي تقييد على الفئات. تبني HazelcastDefaultComponent#getOrCreateHzClientInstance() إعداد ClientConfig خاصًا بها عند اختيار hazelcastMode=client وعدم توفير ClientConfig مُشار إليه ولا hazelcastConfigUri، ولم تطبّق كذلك أي فلتر، لذا تصرّفت نقاط النهاية في وضع العميل بشكل مختلف عن نقاط النهاية في وضع العقدة لإعداد متطابق من حيث المبدأ. في كلتا الحالتين، يمكن لمهاجم قادر على النشر في كتلة Hazelcast التي ترتبط بها النسخة المتأثرة أن يتسبب في إزالة تسلسل كائن Java مُسلسَل من اختياره داخل طبقة إزالة التسلسل الخاصة بـ Hazelcast، قبل أن يعالج Camel التبادل، مما يؤدي إلى تنفيذ تعليمات برمجية عن بُعد. لا تكون المصادقة ولا TLS مفعّلتين افتراضيًا في كتل Hazelcast. اختيار وضع العميل هو خيار طوبولوجي وليس خيارًا أمنيًا، لذا لم يتطلب أي من المسارين أن يشترك النشر في سلوك غير آمن. يُنصح المستخدمون بالترقية إلى الإصدار 4.23.0، الذي يصلح المشكلة. إذا كان المستخدمون على سلسلة إصدارات 4.22.x، فيُقترح عليهم الترقية إلى 4.22.1. وإذا كان المستخدمون على سلسلة إصدارات 4.18.x، فيُقترح عليهم الترقية إلى 4.18.5. وصلت سلسلة إصدارات 4.14.x وما قبلها إلى نهاية العمر الافتراضي قبل حل هذه المشكلة ولن تتلقى إصلاحًا، لذا يجب على عمليات النشر على تلك الخطوط الانتقال إلى إصدار مدعوم. بالنسبة لعمليات النشر التي لا يمكنها الترقية فورًا، وفّر إعداد Hazelcast صريحًا يحمل JavaSerializationFilterConfig، أو حقن HazelcastInstance مُعدّ مسبقًا، لأن الإعداد الذي يوفره المستخدم لا يتم استبداله أبدًا بواسطة Camel. بدلاً من ذلك، اضبط الفلتر على مستوى JVM بالكامل عبر -Djdk.serialFilter=!java.net.;java.;javax.;org.apache.camel.;!* وفعّل مصادقة كتلة Hazelcast وTLS لتقييد من يمكنه الوصول إلى الكتلة.

المصادر