CVE-2026-43865

Resumen

Vulnerabilidad de deserialización de datos no confiables en el componente Hazelcast de Apache Camel. El componente camel-hazelcast crea y gestiona instancias de Hazelcast utilizando una configuración predeterminada que no aplica ningún filtro de deserialización de Java. Cuando Camel construye la Config de Hazelcast por sí mismo — es decir, cuando no se proporciona una HazelcastInstance suministrada por el usuario, hazelcastConfigUri, o un bean Config referenciado — no se configura ni el JavaSerializationFilterConfig de Hazelcast ni un ObjectInputFilter del lado de Camel, por lo que los objetos recibidos a través del protocolo de clúster de Hazelcast se deserializan dentro de la propia capa de serialización de Hazelcast (ObjectInputStream.readObject) antes de que Camel los procese. Un atacante que pueda unirse o de otro modo alcanzar el clúster de Hazelcast puede publicar un objeto Java serializado manipulado que luego se deserializa en cada nodo de Camel, lo que resulta en ejecución remota de código. La exposición está presente por defecto y no requiere configuración de endpoint de suscripción voluntaria: cualquier ruta que utilice un consumidor de hazelcast (hazelcast-topic, hazelcast-queue, hazelcast-seda, hazelcast-map, hazelcast-multimap, hazelcast-replicatedmap, hazelcast-list, hazelcast-set), así como HazelcastAggregationRepository y HazelcastIdempotentRepository, se ve afectada siempre que la instancia gestionada se cree a partir de la configuración predeterminada de Camel. Este problema afecta a Apache Camel: desde 4.0.0 antes de 4.14.8, desde 4.15.0 antes de 4.18.3, desde 4.19.0 antes de 4.21.0. Se recomienda a los usuarios actualizar a la versión 4.21.0, que corrige el problema. Si los usuarios están en la rama de versiones LTS 4.14.x, se les sugiere actualizar a 4.14.8. Si los usuarios están en la rama de versiones 4.18.x, se les sugiere actualizar a 4.18.3. La corrección hace que Camel aplique un JavaSerializationFilterConfig de Hazelcast predeterminado (incluyendo en la lista blanca los prefijos de nombres de clase java., javax. y org.apache.camel. y excluyendo de la lista negra java.net.) a las instancias que crea a partir de su propia configuración predeterminada, dejando intacta cualquier Config o HazelcastInstance suministrada por el usuario. Para implementaciones que no puedan actualizar de inmediato, configure un filtro de deserialización en la instancia de Hazelcast (JavaSerializationFilterConfig de Hazelcast, o la propiedad de sistema de toda la JVM -Djdk.serialFilter=!java.net.**;java.**;javax.**;org.apache.camel.**;!*) y habilite la autenticación y TLS del clúster de Hazelcast para restringir quién puede alcanzar el clúster.