CVE-2026-40858
Apache Camel: Camel-Infinispan: Deserialización insegura en el repositorio de agregación remota
- Publicado
- 27 abr 2026
- Actualizado
- 9 sept 2026
- Asignación de CNA
- apache
- Evidencia observada
- 7 ago 2026
CVSS primario
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:HBajo · próximos 30 días
- Percentil
- 68,3 %
- Fecha del modelo
- 17 oct 2026
EPSS es una estimación estadística, no una certeza o una medida de impacto. Combínelo con CVSS, estado KEV, exposición y su entorno.
Resumen
El repositorio de agregación remota basado en ProtoStream del componente camel-infinispan deserializa datos leídos de una caché remota de Infinispan utilizando java.io.ObjectInputStream sin aplicar ningún ObjectInputFilter. Un atacante que pueda escribir en la caché de Infinispan utilizada por una aplicación Camel puede inyectar un objeto Java serializado manipulado que, al ser leído durante operaciones normales del repositorio de agregación, como get o recover, resulta en la ejecución de código arbitrario en el contexto de la aplicación. Este problema afecta a Apache Camel: desde 4.0.0 hasta antes de 4.14.7, desde 4.15.0 hasta antes de 4.18.2, desde 4.19.0 hasta antes de 4.20.0. Se recomienda a los usuarios actualizar a la versión 4.20.0, que corrige el problema. Si los usuarios están en la rama de versiones LTS 4.14.x, se les sugiere actualizar a 4.14.7. Si los usuarios están en la rama de versiones 4.18.x, se les sugiere actualizar a 4.18.2. El ticket de JIRA: https://issues.apache.org/jira/browse/CAMEL-23322 hace referencia a los diversos commits que resolvieron el problema y contiene más detalles. Este problema sigue la misma clase de vulnerabilidad abordada anteriormente en CVE-2024-22369, CVE-2024-23114 y CVE-2026-25747.
Fuentes
- CVE-2026-33453Exploit
Proporciona exploits de prueba de concepto funcionales y análisis detallado para tres vulnerabilidades críticas de Apache Camel, incluyendo inyección de cabeceras CoAP y deserialización insegura que conduce a ejecución remota de código.
Reproductor para CVE-2026-40858 — deserialización insegura del repositorio de agregación remoto de Apache Camel camel-infinispan (RCE)
Uso responsable
Utilice información sobre vulnerabilidades solo en sistemas de su propiedad o que esté autorizado a probar. Kitploit enlaza con metadatos de investigación pública y no almacena código de explotación ni cargas útiles maliciosas.