CVE-2026-46590

Zusammenfassung

# Deserialisierung nicht vertrauenswürdiger Daten – Schwachstelle in der Apache Camel PQC-Komponente Die Schwachstelle „Deserialization of Untrusted Data" betrifft die PQC-Komponente von Apache Camel. Die Komponente `camel-pqc` speichert Metadaten zu Post-Quanten-Schlüsseln (`KeyMetadata`) über pluggable `KeyLifecycleManager`-Implementierungen. `HashicorpVaultKeyLifecycleManager` und `AwsSecretsManagerKeyLifecycleManager` lesen diese Metadaten aus dem konfigurierten Secret-Backend zurück, indem sie einen Base64-umhüllten Wert mit einem rohen `java.io.ObjectInputStream.readObject()` und ohne `ObjectInputFilter` oder Klassen-Allowlist deserialisieren; die Typumwandlung zu `KeyMetadata` erfolgt erst, nachdem `readObject()` zurückkehrt, sodass alle `readObject()`-Nebeneffekte in einem manipulierten Objekt vor der Typprüfung ausgeführt werden. Derselbe ungefilterte Legacy-Migrations-Read verblieb auch in `FileBasedKeyLifecycleManager` (für das gespeicherte `KeyPair` und `KeyMetadata`). Ein Prinzipal, der Schreibzugriff auf das operator-kontrollierte Backend hat, das diese Werte speichert – den HashiCorp-Vault-KV-Pfad oder das AWS-Secrets-Manager-Secret (erfordert ein Vault-Token oder `secretsmanager:PutSecretValue`) – könnte ein manipuliertes serialisiertes Objekt ablegen, das während normaler Schlüssel-Lebenszyklus-Operationen deserialisiert wird, was potenziell zur Codeausführung im Kontext der Anwendung führen kann, die die Schlüssel verwaltet. Dies ist eine unvollständige Behebung im Anschluss an CVE-2026-40048 (CAMEL-23200), die `FileBasedKeyLifecycleManager` dahingehend änderte, Metadaten als JSON / PKCS#8 / X.509 zu speichern, aber keinen `ObjectInputFilter` hinzufügte, die Vault- und AWS-Schwester-Manager nicht abdeckte und die eigene Legacy-Migrations-Deserialisierung von `FileBasedKeyLifecycleManager` ungefiltert ließ. Dieses Problem betrifft Apache Camel: von 4.18.0 vor 4.18.3, von 4.19.0 vor 4.21.0. Benutzern wird empfohlen, auf Version 4.21.0 zu aktualisieren, die das Problem behebt. Wenn Benutzer den 4.18.x-LTS-Release-Stream verwenden, wird empfohlen, auf 4.18.3 zu aktualisieren. Für Bereitstellungen, die nicht sofort aktualisieren können, sollte der Schreibzugriff auf das Schlüssel-Backend eingeschränkt werden, sodass nur die Identität der Anwendung selbst die `camel-pqc`-Secrets schreiben kann (Least-Privilege-HashiCorp-Vault-Richtlinien und `secretsmanager:PutSecretValue`-IAM), und das PQC-Schlüsselmaterial sollte in einem Backend getrennt von allen Daten aufbewahrt werden, die weniger vertrauenswürdige Prinzipale schreiben können.