CVE-2026-46590 — Deserializzazione non sicura del ciclo di vita delle chiavi di camel-pqc

Reproducer proof-of-concept eseguibili per la stessa vulnerabilità Apache Camel, uno per runtime:

Entrambe sono versioni interessate (corrette in 4.18.3 / 4.21.0) e dimostrano lo stesso identico difetto: FileBasedKeyLifecycleManager persiste le chiavi post-quantum come JSON PKCS#8/X.509, ma migra ancora i file di chiave legacy (serializzati in Java) con un ObjectInputStream grezzo e nessun ObjectInputFilter — il residuo della correzione incompleta di CVE-2026-40048. getKey(keyId) ripiega su migrateLegacyKey(), che deserializza il file <keyId>.key piazzato dall'attaccante; il cast a KeyPair avviene solo dopo che readObject() restituisce, quindi un oggetto appositamente costruito viene eseguito per primo (CWE-502).

Ogni sottodirectory è un progetto autonomo con il proprio Dockerfile, docker-compose.yml e README. In breve, per entrambi:

cd camel-spring-boot   # or: cd camel-quarkus
mvn clean package
docker compose up -d --build
curl -s http://localhost:8080/exploit/attack
docker compose down

Riepilogo della vulnerabilità

Avviso: https://camel.apache.org/security/CVE-2026-46590.html

Avvertenza

Questi reproducer sono forniti esclusivamente per ricerca sulla sicurezza e test autorizzati, per una vulnerabilità divulgata pubblicamente e corretta. Non utilizzarli contro sistemi senza autorizzazione esplicita.