CVE-2026-25747

高公開済み

Apache Camel LevelDB: Camel LevelDBにおける信頼されないデータの逆シリアライゼーション

公開済み: 2026/02/23
更新済み: 2026/08/17
CNA の割り当て: apache
観察された証拠: 2026/08/27

プライマリ CVSS

8.8/ 10高

nvd · CVSS 3.1

CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

EPSS 確率推定

1.0%

低 · 今後 30 日間

パーセンタイル: 60.2%
モデルの日付: 2026/09/21

EPSS は統計的な推定値であり、確実性や影響の尺度ではありません。 CVSS、KEV ステータス、暴露、環境と組み合わせます。

概要

Apache Camel LevelDBコンポーネントにおける、信頼されないデータのデシリアライゼーションの脆弱性。Camel-LevelDBのDefaultLevelDBSerializerクラスは、LevelDB集約リポジトリから読み取ったデータを、ObjectInputFilterやクラスローディング制限を適用せずにjava.io.ObjectInputStreamを使用してデシリアライズします。Camelアプリケーションで使用されるLevelDBデータベースファイルに書き込むことができる攻撃者は、細工されたシリアライズ済みJavaオブジェクトを注入でき、通常の集約リポジトリ操作中にデシリアライズされると、アプリケーションのコンテキストで任意のコード実行が発生します。この問題はApache Camelに影響します: 4.10.0から4.10.8未満、4.14.0から4.14.5未満、4.15.0から4.18.0未満。ユーザーは、この問題を修正したバージョン4.18.0にアップグレードすることを推奨されます。4.10.x LTSリリースについては、ユーザーは4.10.9にアップグレードすることを推奨され、4.14.x LTSリリースについては、ユーザーは4.14.5にアップグレードすることを推奨されます。

ソース

CVE-2026-25747PoC
CVE-2026-25747 - Camel LevelDB デシリアライゼーションの脆弱性
CVE-2026-33453エクスプロイト
Apache Camel の3つの重大な脆弱性に対する実証済みの概念実証エクスプロイトと詳細な分析を提供します。これには、CoAPヘッダーインジェクションや、リモートコード実行につながる安全でないデシリアライゼーションが含まれます。
CVE-2026-27172PoC
CVE-2026-27172 の再現コード: Apache Camel camel-consul ConsulRegistry Java デシリアライゼーション (RCE)

責任ある使用

脆弱性情報は、自分が所有しているシステム、またはテストを許可されているシステムでのみ使用してください。 Kitploit は公開研究メタデータにリンクしており、エクスプロイトコードや悪意のあるペイロードは保存しません。