CVE-2026-40048

Résumé

La classe `FileBasedKeyLifecycleManager` de Camel-PQC désérialise le contenu des fichiers `<keyId>.key` dans le répertoire de clés configuré à l'aide de `java.io.ObjectInputStream` sans appliquer de `ObjectInputFilter` ni de restrictions de chargement de classes. Le cast vers `java.security.KeyPair` n'est évalué qu'après que `readObject()` a déjà retourné, de sorte que tous les effets secondaires de `readObject()` dans l'objet désérialisé s'exécutent avant la vérification de type. Un attaquant capable d'écrire dans le répertoire de clés utilisé par une application Camel — par exemple via un path traversal dans le répertoire, des permissions de système de fichiers mal configurées sur le volume où les clés sont stockées, un pipeline d'approvisionnement de clés compromis, ou une attaque par lien symbolique — peut placer un objet Java sérialisé malveillant qui, lors de la désérialisation pendant les opérations normales du cycle de vie des clés, entraîne une exécution de code arbitraire dans le contexte de l'application. Ce problème affecte Apache Camel : de 4.19.0 avant 4.20.0, de 4.18.0 avant 4.18.2. Il est recommandé aux utilisateurs de mettre à niveau vers la version 4.20.0, qui corrige le problème en remplaçant le stockage des clés et des métadonnées basé sur `java.io.ObjectInputStream` par un encodage JSON Base64 standard PKCS#8 (clé privée) / X.509 SubjectPublicKeyInfo (clé publique). Pour les utilisateurs de la branche de versions LTS 4.18.x, mettez à niveau vers 4.18.2.

• CVE-2026-40048PoC

  Reproducteur pour CVE-2026-40048 : désérialisation non sécurisée de FileBasedKeyLifecycleManager dans Apache Camel camel-pqc (RCE)

• CVE-2026-43867