CVE-2026-43867

Resumen

# Vulnerabilidad de Deserialización de Datos No Confiables en el Componente PQC de Apache Camel El componente camel-pqc persiste metadatos de claves post-cuánticas (KeyMetadata) a través de implementaciones conectables de KeyLifecycleManager. AwsSecretsManagerKeyLifecycleManager.deserializeMetadata() lee esos metadatos de vuelta desde el secreto configurado en AWS Secrets Manager decodificando en Base64 el valor almacenado y deserializándolo con un java.io.ObjectInputStream.readObject() sin filtro y sin lista de clases permitidas; la conversión a KeyMetadata ocurre solo después de que readObject() retorna, por lo que cualquier efecto secundario de readObject() en un objeto manipulado se ejecuta antes de la verificación de tipo. Un principal que pueda escribir en el secreto de AWS Secrets Manager que contiene estos metadatos (requiriendo secretsmanager:PutSecretValue sobre ese secreto) podría almacenar un objeto serializado manipulado que se deserializa durante operaciones normales del ciclo de vida de las claves, lo que potencialmente conduce a la ejecución de código en el contexto de la aplicación que gestiona las claves. Este es el mismo defecto subyacente, en la misma ruta de código y corregido con el mismo parche, que CVE-2026-46590, el cual fue reportado de forma independiente y además cubre los gestores hermanos basados en HashiCorp Vault y en archivos; ambos son seguimientos de remediación incompleta de CVE-2026-40048 (CAMEL-23200). Este problema afecta a Apache Camel: desde 4.18.0 hasta antes de 4.18.3, y desde 4.19.0 hasta antes de 4.21.0. Se recomienda a los usuarios actualizar a la versión 4.21.0, que corrige el problema. Si los usuarios están en la rama de versiones LTS 4.18.x, se les sugiere actualizar a 4.18.3. Para despliegues que no puedan actualizar de inmediato, restrinja el acceso de escritura al secreto de AWS Secrets Manager que contiene los metadatos de claves de camel-pqc para que solo la identidad propia de la aplicación tenga secretsmanager:PutSecretValue sobre él (IAM de mínimo privilegio), y mantenga el material de claves PQC en un secreto separado de cualquier dato que puedan escribir principales menos confiables.

• CVE-2026-43867