CVE-2026-40858

概要

camel-infinispan コンポーネントの ProtoStream ベースのリモート集約リポジトリは、リモートの Infinispan キャッシュから読み取ったデータを、ObjectInputFilter を適用せずに java.io.ObjectInputStream を使用して逆シリアル化します。Camel アプリケーションが使用する Infinispan キャッシュに書き込める攻撃者は、細工されたシリアル化 Java オブジェクトを注入でき、通常の集約リポジトリ操作（get や recover など）中に読み取られると、アプリケーションのコンテキストで任意のコード実行が発生します。この問題は Apache Camel に影響します: 4.0.0 から 4.14.7 未満、4.15.0 から 4.18.2 未満、4.19.0 から 4.20.0 未満。ユーザーは、この問題を修正したバージョン 4.20.0 にアップグレードすることを推奨します。4.14.x LTS リリースストリームを使用しているユーザーは、4.14.7 にアップグレードすることを推奨します。4.18.x リリースストリームを使用しているユーザーは、4.18.2 にアップグレードすることを推奨します。JIRA チケット: https://issues.apache.org/jira/browse/CAMEL-23322 は、この問題を解決したさまざまなコミットを参照しており、詳細が記載されています。この問題は、以前 CVE-2024-22369、CVE-2024-23114、CVE-2026-25747 で対処されたものと同じクラスの脆弱性に該当します。

• CVE-2026-33453エクスプロイト

  Apache Camel の3つの重大な脆弱性に対する実証済みの概念実証エクスプロイトと詳細な分析を提供します。これには、CoAPヘッダーインジェクションや、リモートコード実行につながる安全でないデシリアライゼーションが含まれます。

• CVE-2026-40858PoC

  CVE-2026-40858 の再現コード — Apache Camel camel-infinispan のリモート集約リポジトリにおける安全でないデシリアライゼーション (RCE)