CVE-2026-27172
Apache Camel : Désérialisation Java non sécurisée dans camel-consul ConsulRegistry permettant l'exécution de code arbitraire via des valeurs malveillantes lues depuis le magasin KV de Consul
- Publié
- 27 avr. 2026
- Mise à jour
- 15 juil. 2026
- Attribution de CNA
- apache
- Preuve observée
- 7 août 2026
CVSS primaire
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:HFaible · 30 prochains jours
- Percentile
- 66,0 %
- Date du modèle
- 17 oct. 2026
EPSS est une estimation statistique, et non une certitude ou une mesure d'impact. Combinez-le avec CVSS, le statut KEV, l'exposition et votre environnement.
Résumé
Le ConsulRegistry du composant camel-consul (classe org.apache.camel.component.consul.ConsulRegistry et sa méthode interne ConsulRegistryUtils.deserialize) lit les valeurs sérialisées Java depuis le stockage KV de Consul et les transmet à ObjectInputStream.readObject() sans configurer de ObjectInputFilter. Un attaquant capable d'écrire dans le stockage KV de Consul associé à une instance ConsulRegistry de Camel pourrait injecter un objet Java sérialisé malveillant qui sera désérialisé lors de la prochaine recherche effectuée par Camel dans ce registre, conduisant à une exécution de code arbitraire dans le processus Camel. Ce problème reflète la classe de vulnérabilité déjà traitée pour d'autres composants Camel dans CVE-2024-22369, CVE-2024-23114 et CVE-2026-25747, et a été négligé lors de la correction initiale de ces CVE. Ce problème affecte Apache Camel : de 3.0.0 avant 4.14.6, de 4.15.0 avant 4.18.1. Il est recommandé aux utilisateurs de mettre à niveau vers la version 4.19.0, qui corrige le problème. Si les utilisateurs sont sur le flux de versions LTS 4.14.x, il leur est conseillé de passer à la version 4.14.6. Si les utilisateurs sont sur le flux de versions 4.18.x, il leur est conseillé de passer à la version 4.18.1.
Sources
Reproducteur pour CVE-2026-27172 : désérialisation Java de ConsulRegistry camel-consul d'Apache Camel (RCE)
- CVE-2026-PoCsRecherche
Exploit-Index : La base de données ultime de preuves de concept (PoC) et d'exploits CVE. Un agrégateur haute performance sans API pour les 0days, les vulnérabilités et le renseignement sur les menaces. Remplaçant les recherches manuelles pour les équipes SOC d'élite, les DevSecOps et les chasseurs de Bug Bounty.
Utilisation responsable
Utilisez les informations de vulnérabilité uniquement sur les systèmes que vous possédez ou que vous êtes autorisé à tester. Kitploit renvoie aux métadonnées de la recherche publique et ne stocke pas de code d'exploitation ni de charges utiles malveillantes.