CVE-2026-40048

Riepilogo

La classe `Camel-PQC FileBasedKeyLifecycleManager` deserializza il contenuto dei file `<keyId>.key` nella directory delle chiavi configurata utilizzando `java.io.ObjectInputStream` senza applicare alcun `ObjectInputFilter` o restrizione sul caricamento delle classi. Il cast a `java.security.KeyPair` viene valutato solo dopo che `readObject()` ha già restituito il risultato, quindi qualsiasi effetto collaterale di `readObject()` nell'oggetto deserializzato viene eseguito prima del controllo del tipo. Un attaccante che può scrivere nella directory delle chiavi utilizzata da un'applicazione Camel — ad esempio tramite un path traversal nella directory, permessi del filesystem configurati in modo errato sul volume in cui sono archiviate le chiavi, una pipeline di provisioning delle chiavi compromessa o un attacco tramite symlink — può inserire un oggetto Java serializzato appositamente predisposto che, quando deserializzato durante le normali operazioni del ciclo di vita delle chiavi, determina l'esecuzione di codice arbitrario nel contesto dell'applicazione. Questo problema riguarda Apache Camel: dalla versione 4.19.0 prima della 4.20.0, dalla versione 4.18.0 prima della 4.18.2. Si consiglia agli utenti di aggiornare alla versione 4.20.0, che risolve il problema sostituendo l'archiviazione di chiavi e metadati basata su `java.io.ObjectInputStream` con la codifica JSON Base64 standard PKCS#8 (chiave privata) / X.509 SubjectPublicKeyInfo (chiave pubblica). Per gli utenti del ramo di rilascio LTS 4.18.x, aggiornare alla versione 4.18.2.

• CVE-2026-40048PoC

  Reproducer per CVE-2026-40048: deserializzazione non sicura del FileBasedKeyLifecycleManager di Apache Camel camel-pqc (RCE)