CVE-2026-40048

Zusammenfassung

Die Klasse `FileBasedKeyLifecycleManager` von Camel-PQC deserialisiert den Inhalt von `<keyId>.key`-Dateien im konfigurierten Schlüsselverzeichnis mithilfe von `java.io.ObjectInputStream`, ohne einen `ObjectInputFilter` oder Einschränkungen beim Klassenladen anzuwenden. Die Typumwandlung auf `java.security.KeyPair` wird erst ausgewertet, nachdem `readObject()` bereits zurückgekehrt ist, sodass alle `readObject()`-Nebeneffekte im deserialisierten Objekt vor der Typprüfung ausgeführt werden. Ein Angreifer, der in das von einer Camel-Anwendung verwendete Schlüsselverzeichnis schreiben kann – beispielsweise durch einen Path Traversal in das Verzeichnis, falsch konfigurierte Dateisystemberechtigungen auf dem Volume, auf dem Schlüssel gespeichert sind, eine kompromittierte Schlüsselbereitstellungspipeline oder einen Symlink-Angriff – kann ein präpariertes serialisiertes Java-Objekt platzieren, das bei der Deserialisierung während normaler Schlüssellebenszyklusvorgänge zu beliebiger Codeausführung im Kontext der Anwendung führt. Dieses Problem betrifft Apache Camel: von 4.19.0 vor 4.20.0, von 4.18.0 vor 4.18.2. Benutzern wird empfohlen, auf Version 4.20.0 zu aktualisieren, die das Problem behebt, indem die auf `java.io.ObjectInputStream` basierende Schlüssel- und Metadatenspeicherung durch standardmäßige PKCS#8- (privater Schlüssel) / X.509-SubjectPublicKeyInfo- (öffentlicher Schlüssel) Base64-JSON-Kodierung ersetzt wird. Für Benutzer der 4.18.x-LTS-Versionsreihe wird ein Upgrade auf 4.18.2 empfohlen.

• CVE-2026-40048PoC

  Reproducer für CVE-2026-40048: Apache Camel camel-pqc FileBasedKeyLifecycleManager unsichere Deserialisierung (RCE)

• CVE-2026-43867