CVE-2026-40858

Riepilogo

Il repository di aggregazione remota basato su ProtoStream del componente camel-infinispan deserializza i dati letti da una cache Infinispan remota utilizzando java.io.ObjectInputStream senza applicare alcun ObjectInputFilter. Un attaccante che può scrivere nella cache Infinispan utilizzata da un'applicazione Camel può iniettare un oggetto Java serializzato appositamente predisposto che, quando letto durante le normali operazioni del repository di aggregazione come get o recover, comporta l'esecuzione di codice arbitrario nel contesto dell'applicazione. Questo problema riguarda Apache Camel: dalla 4.0.0 alla 4.14.7 (esclusa), dalla 4.15.0 alla 4.18.2 (esclusa), dalla 4.19.0 alla 4.20.0 (esclusa). Si consiglia agli utenti di aggiornare alla versione 4.20.0, che risolve il problema. Se gli utenti si trovano sul ramo di rilascio LTS 4.14.x, si consiglia di aggiornare alla 4.14.7. Se gli utenti si trovano sul ramo di rilascio 4.18.x, si consiglia di aggiornare alla 4.18.2. Il ticket JIRA: https://issues.apache.org/jira/browse/CAMEL-23322 fa riferimento ai vari commit che hanno risolto il problema e contiene ulteriori dettagli. Questo problema appartiene alla stessa classe di vulnerabilità precedentemente affrontata in CVE-2024-22369, CVE-2024-23114 e CVE-2026-25747.

• CVE-2026-33453Exploit

  Fornisce proof-of-concept exploit funzionanti e analisi dettagliata per tre vulnerabilità critiche di Apache Camel, inclusa l'iniezione di header CoAP e la deserializzazione non sicura che porta all'esecuzione remota di codice.

• CVE-2026-40858