CVE-2026-42527

概要

# Apache Camel における信頼されないデータの逆シリアル化の脆弱性 Apache Camel の複数のコンポーネントに同梱されている、多層防御用の逆シリアル化フィルタリング用デフォルトの ObjectInputFilter パターン（`java.**;javax.**;org.apache.camel.**;!*`、または集約リポジトリコンポーネントでは `javax.**` を含まないバリアント）は、再帰的な `java.**` グロブを使用しており、hashCode/equals/readObject メソッドがネットワーク I/O を実行するクラス（特に java.net.URL や java.net.InetAddress）を許可します。攻撃者が影響を受ける Camel コンシューマーに Java シリアライズされたペイロードを配信できる場合、java.net.URL キーを含む HashMap（または要素に対して hashCode を呼び出す任意のコレクション）の逆シリアル化により、逆シリアル化の副作用として JVM が攻撃者指定のホストに対して DNS クエリを発行します。クラスレベルのフィルタチェックは、結果のオブジェクトのクラス（HashMap）が許可リストに含まれているため通過します。DNS クエリは攻撃者が制御する DNS サーバー上で観測可能であり、帯域外サイドチャネルを提供します。camel-jms ファミリーでは、JmsBinding.extractBodyFromJms が mapJmsMessage=true（デフォルト）の場合に ObjectMessage.getObject() を無条件に呼び出すため、露出リスクが最も高くなります。影響を受けるコンポーネント: camel-jms、camel-sjms、camel-amqp、camel-mina、camel-netty、camel-netty-http、camel-vertx-http、camel-infinispan、および集約リポジトリコンポーネントの camel-leveldb、camel-cassandraql、camel-consul、camel-sql（JDBC 集約リポジトリ）。この問題は Apache Camel に影響します: 4.14.0 から 4.14.8 未満、4.15.0 から 4.18.3 未満、4.19.0 から 4.21.0 未満。ユーザーは、利用可能になり次第 CAMEL-23372 修正を含むバージョンにアップグレードすることを推奨されます: 4.21.x 系では 4.21.0、4.18.x 系では 4.18.3、4.14.x 系では 4.14.8。直ちにアップグレードできないデプロイメントでは、主要な緩和策として JMS プロバイダー側の許可リスト（Apache ActiveMQ Artemis の `deserializationAllowList` / `deserializationDenyList`、Apache ActiveMQ Classic の `org.apache.activemq.SERIALIZABLE_PACKAGES`）を設定し、かつ/またはエンドポイントレベルの `deserializationFilter` オプション、あるいは JVM 全体の `-Djdk.serialFilter` システムプロパティでコード内デフォルトを上書きし、明示的な拒否 `!java.net.**;java.**;javax.**;org.apache.camel.**;!*`（または `javax.**` を含まない集約リポジトリコンポーネントでは `!java.net.**;java.**;org.apache.camel.**;!*`）を指定してください。

• CVE-2026-42527PoC

  CVE-2026-42527の再現ツール — Apache Camelの寛容なデフォルトのObjectInputFilterがjava.net.URLを許可し、DNSベースのアウトオブバンドサイドチャネルを可能にする