CVE-2026-40860

Riepilogo

JmsBinding.extractBodyFromJms() in camel-jms, e la classe JmsBinding equivalente in camel-sjms, deserializzavano il payload dei valori JMS ObjectMessage in arrivo tramite javax.jms.ObjectMessage.getObject() senza applicare alcun ObjectInputFilter, allowlist di classi o denylist di classi. Poiché questo percorso di codice viene raggiunto ogni volta che l'opzione mapJmsMessage è abilitata (impostazione predefinita) e Camel agisce come consumer JMS, un attaccante in grado di pubblicare un ObjectMessage appositamente predisposto su una coda o un topic consumato da un'applicazione Camel potrebbe ottenere l'esecuzione remota di codice quando una catena di gadget di deserializzazione era presente nel classpath. La stessa gestione veniva raggiunta transitivamente tramite camel-sjms2 (il cui Sjms2Endpoint estende SjmsEndpoint) e tramite camel-amqp (il cui AMQPJmsBinding estende JmsBinding), e da altri componenti della famiglia JMS basati su JmsComponent come camel-activemq e camel-activemq6. Questo problema riguarda Apache Camel: dalla 3.0.0 prima della 4.14.7, dalla 4.15.0 prima della 4.18.2, dalla 4.19.0 prima della 4.20.0. Si consiglia agli utenti di aggiornare alla versione 4.20.0, che risolve il problema. Se gli utenti si trovano sul ramo di release LTS 4.14.x, si consiglia di aggiornare alla 4.14.7. Se gli utenti si trovano sul ramo di release 4.18.x, si consiglia di aggiornare alla 4.18.2.

• CVE-2026-40860PoC

  Reproducer per CVE-2026-40860 — deserializzazione non sicura di JMS ObjectMessage in Apache Camel camel-jms/sjms/amqp (RCE)

• CVE-2026-43866