CVE-2026-40048
Apache Camel PQC: FileBasedKeyLifecycleManager से असुरक्षित डिसीरियलाइज़ेशन
- प्रकाशित
- 27 अप्रैल 2026
- अद्यतन
- 15 जुल॰ 2026
- सीएनए असाइन करना
- apache
- साक्ष्य देखे गए
- 7 अग॰ 2026
प्राथमिक सीवीएसएस
nvd · CVSS 3.1
CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:Hकम · अगले 30 दिन
- प्रतिशत
- 38.3%
- मॉडल दिनांक
- 17 अक्टू॰ 2026
ईपीएसएस एक सांख्यिकीय अनुमान है, कोई निश्चितता या प्रभाव का माप नहीं। इसे सीवीएसएस, केईवी स्थिति, एक्सपोज़र और अपने वातावरण के साथ मिलाएं।
सारांश
The Camel-PQC FileBasedKeyLifecycleManager क्लास कॉन्फ़िगर किए गए कुंजी निर्देशिका में `<keyId>.key` फ़ाइलों की सामग्री को `java.io.ObjectInputStream` का उपयोग करके बिना किसी ObjectInputFilter या क्लास-लोडिंग प्रतिबंध लागू किए डिसीरियलाइज़ करता है। `java.security.KeyPair` में कास्ट केवल `readObject()` के लौटने के बाद मूल्यांकित किया जाता है, इसलिए डिसीरियलाइज़्ड ऑब्जेक्ट में कोई भी `readObject()` साइड-इफेक्ट टाइप चेक से पहले चलता है। एक हमलावर जो Camel एप्लिकेशन द्वारा उपयोग की जाने वाली कुंजी निर्देशिका में लिख सकता है — उदाहरण के लिए निर्देशिका में पाथ ट्रैवर्सल, कुंजियों के संग्रहीत वॉल्यूम पर गलत कॉन्फ़िगर किए गए फ़ाइलसिस्टम अनुमतियाँ, एक समझौता कुंजी प्रावधान पाइपलाइन, या एक सिमलिंक हमला — एक क्राफ्टेड सीरियलाइज़्ड Java ऑब्जेक्ट रख सकता है, जो सामान्य कुंजी जीवनचक्र संचालन के दौरान डिसीरियलाइज़ होने पर, एप्लिकेशन के संदर्भ में मनमाना कोड निष्पादन का परिणाम देता है। यह समस्या Apache Camel को प्रभावित करती है: 4.19.0 से 4.20.0 से पहले, 4.18.0 से 4.18.2 से पहले। उपयोगकर्ताओं को संस्करण 4.20.0 में अपग्रेड करने की अनुशंसा की जाती है, जो `java.io.ObjectInputStream`-आधारित कुंजी और मेटाडेटा भंडारण को मानक PKCS#8 (निजी कुंजी) / X.509 SubjectPublicKeyInfo (सार्वजनिक कुंजी) Base64 JSON एन्कोडिंग के साथ बदलकर समस्या को ठीक करता है। 4.18.x LTS रिलीज़ स्ट्रीम पर उपयोगकर्ताओं के लिए, 4.18.2 में अपग्रेड करें।
स्रोत
CVE-2026-40048 के लिए रिप्रोड्यूसर: Apache Camel camel-pqc FileBasedKeyLifecycleManager असुरक्षित डिसीरियलाइज़ेशन (RCE)
# CVE-2026-43867 के लिए रिप्रोड्यूसर — Apache Camel camel-pqc AwsSecretsManagerKeyLifecycleManager असुरक्षित key-metadata डिसीरियलाइज़ेशन (RCE)
CVE-2026-46590 के लिए रिप्रोड्यूसर: Apache Camel camel-pqc key-lifecycle असुरक्षित डिसीरियलाइज़ेशन (FileBasedKeyLifecycleManager लीगेसी .key माइग्रेशन ObjectInputStream के माध्यम से), CVE-2026-40048 का अधूरा उपचार (4.18.3/4.21.0 में ठीक किया गया)
जिम्मेदारीपूर्ण उपयोग
भेद्यता जानकारी का उपयोग केवल उन प्रणालियों पर करें जिनके मालिक आप हैं या परीक्षण के लिए अधिकृत हैं। किटप्लॉइट सार्वजनिक अनुसंधान मेटाडेटा से लिंक करता है और शोषण कोड या दुर्भावनापूर्ण पेलोड को संग्रहीत नहीं करता है।