CVE-2026-46590 — إلغاء تسلسل غير آمن لدورة حياة المفتاح في camel-pqc

مستنسخات قابلة للتشغيل كدليل على المفهوم لنفس ثغرة Apache Camel، واحدة لكل بيئة تشغيل:

كلا الإصدارين متأثران (تم الإصلاح في 4.18.3 / 4.21.0)، ويظهران العيب نفسه: يحتفظ FileBasedKeyLifecycleManager بالمفاتيح ما بعد الكمومية كـ PKCS#8/X.509 JSON، ولكنه لا يزال يهاجر ملفات المفاتيح قديمة (المسلسلة بلغة Java) مرة أخرى باستخدام ObjectInputStream الخام وبدون ObjectInputFilter — بقايا التصحيح غير المكتمل لـ CVE-2026-40048. يعود getKey(keyId) إلى migrateLegacyKey()، الذي يقوم بإلغاء تسلسل ملف <keyId>.key المزروع من قبل المهاجم؛ التحويل إلى KeyPair يحدث فقط بعد عودة readObject()، لذا فإن الكائن المصمم ينفذ أولاً (CWE-502).

كل دليل فرعي هو مشروع قائم بذاته مع Dockerfile و docker-compose.yml و README الخاصة به. باختصار، لأي منهما:

cd camel-spring-boot   # or: cd camel-quarkus
mvn clean package
docker compose up -d --build
curl -s http://localhost:8080/exploit/attack
docker compose down

ملخص الثغرة

تنبيه: https://camel.apache.org/security/CVE-2026-46590.html

إخلاء مسؤولية

هذه المستنسخات مقدمة للبحث الأمني والاختبار المصرح به فقط، لثغرة مكشوفة للعموم ومصلحة. لا تستخدمها ضد أنظمة دون إذن صريح.