CVE-2026-40860

概要

camel-jms の JmsBinding.extractBodyFromJms() と、camel-sjms の同等の JmsBinding クラスは、javax.jms.ObjectMessage.getObject() を介して受信した JMS ObjectMessage 値のペイロードを、ObjectInputFilter、クラスの許可リスト、またはクラスの拒否リストを適用せずにデシリアライズしていました。このコードパスは、mapJmsMessage オプションが有効（デフォルト）で、Camel が JMS コンシューマーとして動作する場合に常に到達するため、Camel アプリケーションが消費するキューまたはトピックに細工された ObjectMessage を公開できる攻撃者は、クラスパスにデシリアライゼーションガジェットチェーンが存在する場合にリモートコード実行を達成できました。同じ処理は、camel-sjms2（その Sjms2Endpoint は SjmsEndpoint を継承）と camel-amqp（その AMQPJmsBinding は JmsBinding を継承）を介して推移的に到達し、さらに JmsComponent 上に構築された camel-activemq や camel-activemq6 などの他の JMS ファミリーコンポーネントによっても到達しました。この問題は Apache Camel に影響します: 3.0.0 から 4.14.7 未満、4.15.0 から 4.18.2 未満、4.19.0 から 4.20.0 未満。ユーザーは、この問題を修正するバージョン 4.20.0 にアップグレードすることを推奨されます。4.14.x LTS リリースストリームを使用している場合は、4.14.7 にアップグレードすることをお勧めします。4.18.x リリースストリームを使用している場合は、4.18.2 にアップグレードすることをお勧めします。

• CVE-2026-40860PoC

  CVE-2026-40860 の再現コード — Apache Camel camel-jms/sjms/amqp JMS ObjectMessage の安全でないデシリアライゼーション (RCE)

• CVE-2026-43866PoC

  CVE-2026-43866 の再現コード — Apache Camel camel-jms における偽造された DefaultExchangeHolder による CVE-2026-40860 デシリアライゼーションフィルターのバイパス (Exchange-state インジェクション)