CVE-2026-46590 — camel-pqc: deserialización insegura del ciclo de vida de claves

Reproductores de prueba de concepto ejecutables para la misma vulnerabilidad de Apache Camel, uno por entorno de ejecución:

Ambas son versiones afectadas (corregidas en 4.18.3 / 4.21.0) y demuestran el mismo defecto: FileBasedKeyLifecycleManager persiste las claves post-cuánticas como JSON PKCS#8/X.509, pero sigue migrando los archivos de clave legacy (serializados en Java) con un ObjectInputStream sin procesar y sin ObjectInputFilter — el residuo de la corrección incompleta de CVE-2026-40048. getKey(keyId) recurre a migrateLegacyKey(), que deserializa el archivo <keyId>.key plantado por el atacante; la conversión a KeyPair ocurre solo después de que readObject() retorna, por lo que un objeto manipulado se ejecuta primero (CWE-502).

Cada subdirectorio es un proyecto autocontenido con su propio Dockerfile, docker-compose.yml y README. En resumen, para cualquiera de los dos:

cd camel-spring-boot   # or: cd camel-quarkus
mvn clean package
docker compose up -d --build
curl -s http://localhost:8080/exploit/attack
docker compose down

Resumen de la vulnerabilidad

Aviso: https://camel.apache.org/security/CVE-2026-46590.html

Descargo de responsabilidad

Estos reproductores se proporcionan únicamente para investigación de seguridad y pruebas autorizadas, para una vulnerabilidad divulgada públicamente y corregida. No los utilices contra sistemas sin permiso explícito.