CVE-2026-46590

概要

# Apache Camel PQCコンポーネントにおける信頼されないデータのデシリアライゼーションの脆弱性 Apache Camel PQCコンポーネントにおける、信頼されないデータのデシリアライゼーションの脆弱性。camel-pqcコンポーネントは、プラグ可能なKeyLifecycleManager実装を通じて耐量子鍵メタデータ（KeyMetadata）を永続化します。HashicorpVaultKeyLifecycleManagerとAwsSecretsManagerKeyLifecycleManagerは、Base64でラップされた値を生のjava.io.ObjectInputStream.readObject()でデシリアライズし、ObjectInputFilterやクラスの許可リストなしに設定されたシークレットバックエンドからそのメタデータを読み戻します。KeyMetadataへのキャストはreadObject()が戻った後にのみ行われるため、細工されたオブジェクト内のreadObject()の副作用は、型チェックの前に実行されます。同じフィルタリングされていないレガシーマイグレーション読み取りが、FileBasedKeyLifecycleManager（保存されたKeyPairとKeyMetadata用）にも残っていました。オペレーターが管理するバックエンド（HashiCorp Vault KVパス、またはAWS Secrets Managerシークレット（Vaultトークンまたはsecretsmanager:PutSecretValueが必要））に書き込めるプリンシパルは、通常の鍵ライフサイクル操作中にデシリアライズされる細工されたシリアライズオブジェクトを保存でき、鍵を管理するアプリケーションのコンテキストでのコード実行につながる可能性があります。これは、CVE-2026-40048（CAMEL-23200）の不完全な修正のフォローオンであり、FileBasedKeyLifecycleManagerをメタデータをJSON / PKCS#8 / X.509として保存するように変更しましたが、ObjectInputFilterを追加せず、VaultおよびAWSの兄弟マネージャーをカバーせず、FileBasedKeyLifecycleManager自身のレガシーマイグレーションのデシリアライゼーションをフィルタリングしないままにしました。この問題はApache Camelに影響します：4.18.0から4.18.3未満、4.19.0から4.21.0未満。ユーザーは、この問題を修正するバージョン4.21.0にアップグレードすることを推奨されます。4.18.x LTSリリースストリームを使用している場合は、4.18.3にアップグレードすることをお勧めします。すぐにアップグレードできないデプロイメントでは、アプリケーション自身のIDのみがcamel-pqcシークレットを書き込めるように鍵バックエンドへの書き込みアクセスを制限し（最小権限のHashiCorp Vaultポリシーとsecretsmanager:PutSecretValue IAM）、PQC鍵素材を、信頼度の低いプリンシパルが書き込めるデータとは別のバックエンドに保持してください。

• CVE-2026-46590PoC

  CVE-2026-46590 の再現コード：Apache Camel camel-pqc キーライフサイクルにおける安全でないデシリアライゼーション（FileBasedKeyLifecycleManager のレガシー .key マイグレーション、ObjectInputStream 経由）、CVE-2026-40048 の不完全な修正（4.18.3/4.21.0 で修正済み）

• CVE-2026-43867