CVE-2026-25747

Résumé

Vulnérabilité de désérialisation de données non fiables dans le composant LevelDB d'Apache Camel. La classe DefaultLevelDBSerializer de Camel-LevelDB désérialise les données lues depuis le référentiel d'agrégation LevelDB à l'aide de java.io.ObjectInputStream sans appliquer de ObjectInputFilter ni de restrictions de chargement de classes. Un attaquant capable d'écrire dans les fichiers de base de données LevelDB utilisés par une application Camel peut injecter un objet Java sérialisé spécialement conçu qui, lors de sa désérialisation pendant les opérations normales du référentiel d'agrégation, entraîne l'exécution de code arbitraire dans le contexte de l'application. Ce problème affecte Apache Camel : de 4.10.0 avant 4.10.8, de 4.14.0 avant 4.14.5, de 4.15.0 avant 4.18.0. Il est recommandé aux utilisateurs de mettre à niveau vers la version 4.18.0, qui corrige le problème. Pour les versions LTS 4.10.x, il est recommandé aux utilisateurs de mettre à niveau vers 4.10.9, tandis que pour les versions LTS 4.14.x, il est recommandé aux utilisateurs de mettre à niveau vers 4.14.5.

• CVE-2026-25747PoC

  CVE-2026-25747 - Vulnérabilité de désérialisation LevelDB dans Camel

• CVE-2026-33453Exploit

  Fournit des preuves de concept fonctionnelles et une analyse détaillée pour trois vulnérabilités critiques d'Apache Camel, notamment l'injection d'en-têtes CoAP et la désérialisation non sécurisée menant à l'exécution de code à distance.