CVE-2026-43865

概要

Apache Camel Hazelcastコンポーネントにおける、信頼されないデータのデシリアライゼーションの脆弱性。camel-hazelcastコンポーネントは、Javaデシリアライゼーションフィルタを適用しないデフォルト設定を使用してHazelcastインスタンスを作成・管理します。CamelがHazelcast Config自体を構築する場合、つまりユーザーが提供したHazelcastInstance、hazelcastConfigUri、または参照されるConfig Beanが提供されていない場合、HazelcastのJavaSerializationFilterConfigもCamel側のObjectInputFilterも設定されないため、Hazelcastクラスタプロトコル経由で受信したオブジェクトは、Camelが処理する前にHazelcast自身のシリアライゼーション層（ObjectInputStream.readObject）内でデシリアライズされます。Hazelcastクラスタに参加または到達できる攻撃者は、細工されたシリアライズ済みJavaオブジェクトを公開でき、そのオブジェクトはすべてのCamelノードでデシリアライズされ、リモートコード実行につながります。この露出はデフォルトで存在し、オプトインのエンドポイント設定は不要です。hazelcastコンシューマ（hazelcast-topic、hazelcast-queue、hazelcast-seda、hazelcast-map、hazelcast-multimap、hazelcast-replicatedmap、hazelcast-list、hazelcast-set）を使用する任意のルート、およびHazelcastAggregationRepositoryとHazelcastIdempotentRepositoryは、管理対象インスタンスがCamelのデフォルト設定から作成される場合に常に影響を受けます。この問題はApache Camelに影響します：4.0.0から4.14.8未満、4.15.0から4.18.3未満、4.19.0から4.21.0未満。ユーザーは、この問題を修正するバージョン4.21.0にアップグレードすることを推奨されます。4.14.x LTSリリースストリームを使用している場合は、4.14.8にアップグレードすることを推奨します。4.18.xリリースストリームを使用している場合は、4.18.3にアップグレードすることを推奨します。この修正により、Camelは自身のデフォルト設定から作成するインスタンスにデフォルトのHazelcast JavaSerializationFilterConfig（java.、javax.、org.apache.camel.クラス名プレフィックスをホワイトリスト化し、java.net.をブラックリスト化）を適用しますが、ユーザーが提供したConfigまたはHazelcastInstanceには一切変更を加えません。すぐにアップグレードできないデプロイメントの場合は、Hazelcastインスタンスにデシリアライゼーションフィルタを設定し（Hazelcast JavaSerializationFilterConfig、またはJVM全体のシステムプロパティ -Djdk.serialFilter=!java.net.**;java.**;javax.**;org.apache.camel.**;!*）、Hazelcastクラスタ認証とTLSを有効にして、クラスタに到達できるユーザーを制限してください。

• CVE-2026-43865エクスプロイト

  CVE-2026-43865 の再現コード — Apache Camel camel-hazelcast のデフォルト構成インスタンスにおける安全でない Java デシリアライゼーション（RCE）