CVE-2026-43865

Riepilogo

# Vulnerabilità di deserializzazione di dati non attendibili nel componente Hazelcast di Apache Camel Vulnerabilità di deserializzazione di dati non attendibili nel componente Hazelcast di Apache Camel. Il componente camel-hazelcast crea e gestisce istanze Hazelcast utilizzando una configurazione predefinita che non applica alcun filtro di deserializzazione Java. Quando Camel costruisce la Config di Hazelcast da sé — ovvero quando non viene fornita alcuna HazelcastInstance fornita dall'utente, hazelcastConfigUri o bean Config referenziato — non viene configurato né il JavaSerializationFilterConfig di Hazelcast né un ObjectInputFilter lato Camel, quindi gli oggetti ricevuti tramite il protocollo del cluster Hazelcast vengono deserializzati all'interno del livello di serializzazione di Hazelcast stesso (ObjectInputStream.readObject) prima che Camel possa elaborarli. Un attaccante che può unirsi o comunque raggiungere il cluster Hazelcast può pubblicare un oggetto Java serializzato appositamente predisposto che viene poi deserializzato su ogni nodo Camel, con conseguente esecuzione di codice remoto. L'esposizione è presente per impostazione predefinita e non richiede alcuna configurazione di endpoint opzionale: qualsiasi route che utilizza un consumer hazelcast (hazelcast-topic, hazelcast-queue, hazelcast-seda, hazelcast-map, hazelcast-multimap, hazelcast-replicatedmap, hazelcast-list, hazelcast-set), così come HazelcastAggregationRepository e HazelcastIdempotentRepository, è interessata ogni volta che l'istanza gestita viene creata dalla configurazione predefinita di Camel. Questo problema riguarda Apache Camel: dalla 4.0.0 prima della 4.14.8, dalla 4.15.0 prima della 4.18.3, dalla 4.19.0 prima della 4.21.0. Si consiglia agli utenti di aggiornare alla versione 4.21.0, che risolve il problema. Se gli utenti si trovano sul ramo di rilascio LTS 4.14.x, si consiglia di aggiornare alla 4.14.8. Se gli utenti si trovano sul ramo di rilascio 4.18.x, si consiglia di aggiornare alla 4.18.3. La correzione fa sì che Camel applichi un JavaSerializationFilterConfig Hazelcast predefinito (che inserisce nella whitelist i prefissi dei nomi di classe java., javax. e org.apache.camel. e nella blacklist java.net.) alle istanze che crea dalla propria configurazione predefinita, lasciando intatte eventuali Config o HazelcastInstance fornite dall'utente. Per le distribuzioni che non possono aggiornare immediatamente, configurare un filtro di deserializzazione sull'istanza Hazelcast (Hazelcast JavaSerializationFilterConfig, o la proprietà di sistema a livello JVM -Djdk.serialFilter=!java.net.**;java.**;javax.**;org.apache.camel.**;!*) e abilitare l'autenticazione del cluster Hazelcast e TLS per limitare chi può raggiungere il cluster.