CVE-2026-40860
Apache Camel: Unsichere Deserialisierung von JMS ObjectMessage in camel-jms, camel-sjms, camel-sjms2 und camel-amqp
- Veröffentlicht
- 27.04.2026
- Aktualisiert
- 10.09.2026
- CNA zuweisen
- apache
- Beweise beobachtet
- 06.08.2026
Primäres CVSS
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HNiedrig · nächste 30 Tage
- Perzentil
- 74,3 %
- Modelldatum
- 15.10.2026
EPSS ist eine statistische Schätzung, keine Gewissheit oder ein Maß für die Auswirkung. Kombinieren Sie es mit CVSS, KEV-Status, Belichtung und Ihrer Umgebung.
Zusammenfassung
JmsBinding.extractBodyFromJms() in camel-jms sowie die entsprechende JmsBinding-Klasse in camel-sjms deserialisierten die Nutzlast eingehender JMS-ObjectMessage-Werte über javax.jms.ObjectMessage.getObject(), ohne einen ObjectInputFilter, eine Klassen-Allowlist oder eine Klassen-Denylist anzuwenden. Da dieser Codepfad immer dann erreicht wird, wenn die Option mapJmsMessage aktiviert ist (Standard) und Camel als JMS-Consumer fungiert, könnte ein Angreifer, der in der Lage ist, eine manipulierte ObjectMessage in eine Queue oder ein Topic zu veröffentlichen, die von einer Camel-Anwendung konsumiert wird, Remote Code Execution erreichen, wenn eine Deserialisierungs-Gadget-Kette auf dem Klassenpfad vorhanden war. Dieselbe Behandlung wurde transitiv über camel-sjms2 (dessen Sjms2Endpoint SjmsEndpoint erweitert) und über camel-amqp (dessen AMQPJmsBinding JmsBinding erweitert) sowie über andere JMS-Familienkomponenten erreicht, die auf JmsComponent aufbauen, wie camel-activemq und camel-activemq6. Dieses Problem betrifft Apache Camel: von 3.0.0 vor 4.14.7, von 4.15.0 vor 4.18.2, von 4.19.0 vor 4.20.0. Benutzern wird empfohlen, auf Version 4.20.0 zu aktualisieren, die das Problem behebt. Wenn Benutzer den 4.14.x-LTS-Release-Stream verwenden, wird empfohlen, auf 4.14.7 zu aktualisieren. Wenn Benutzer den 4.18.x-Release-Stream verwenden, wird empfohlen, auf 4.18.2 zu aktualisieren.
Quellen
Reproducer für CVE-2026-40860 — Apache Camel camel-jms/sjms/amqp JMS ObjectMessage unsichere Deserialisierung (RCE)
Reproducer für CVE-2026-43866 — Apache Camel camel-jms gefälschter DefaultExchangeHolder umgeht den CVE-2026-40860 Deserialisierungsfilter (Exchange-State-Injection)
Verantwortungsvoller Umgang
Verwenden Sie Schwachstelleninformationen nur auf Systemen, die Sie besitzen oder zu deren Testen Sie berechtigt sind. Kitploit verlinkt auf öffentliche Forschungsmetadaten und speichert keinen Exploit-Code oder bösartige Payloads.