CVE-2026-78162

概要

Apache Camelにおける信頼できないデータのデシリアライズに関する脆弱性。この問題はApache Camelに影響します: 4.0.0から4.18.5より前、4.19.0から4.22.1より前。camel-hazelcastコンポーネントは、自身の設定から作成するインスタンスにデフォルトのHazelcast JavaSerializationFilterConfigを適用します。これはCVE-2026-43865で導入された保護です。この変更はCamelが自身で構築する2つの設定パスには反映されなかったため、それらのパスはJavaデシリアライズが制限されていないHazelcastインスタンスを作成し続けました。ReplicatedHazelcastAggregationRepositoryはHazelcastAggregationRepositoryを拡張していますが、super.doStart()を呼び出さずにdoStart()をオーバーライドしており、ブートストラップブロックの独自のコピーを保持しているため、フィルタを一切受け取りませんでした: hazelcastInstanceを指定せずにこれを使用するルートは、クラス制限なしでバッキングReplicatedMapから読み取った値をデシリアライズするHazelcastメンバーを起動します。HazelcastDefaultComponent#getOrCreateHzClientInstance()は、hazelcastMode=clientが選択され、参照されるClientConfigもhazelcastConfigUriも指定されていない場合に独自のClientConfigを構築しますが、同様にフィルタを適用していなかったため、クライアントモードのエンドポイントはそれ以外は同一の設定に対してノードモードのエンドポイントとは異なる動作をしていました。どちらの場合も、影響を受けるインスタンスが接続されているHazelcastクラスタに公開できる攻撃者は、Camelがエクスチェンジを処理する前に、Hazelcast自身のシリアライゼーション層内で任意のシリアライズされたJavaオブジェクトをデシリアライズさせることができ、その結果リモートコード実行に至ります。Hazelcastクラスタはデフォルトで認証もTLSも有効になっていません。クライアントモードの選択はセキュリティオプションではなくトポロジの選択であるため、どちらのパスもデプロイが安全でない動作をオプトインすることを必要としませんでした。ユーザーはこの問題を修正したバージョン4.23.0へのアップグレードを推奨されます。ユーザーが4.22.xリリースストリームを使用している場合は、4.22.1へのアップグレードを推奨します。ユーザーが4.18.xリリースストリームを使用している場合は、4.18.5へのアップグレードを推奨します。4.14.xリリースストリーム以前はこの問題が解決される前にサポート終了となっており、修正を受け取ることはないため、これらのラインのデプロイはサポートされているリリースに移行する必要があります。すぐにアップグレードできないデプロイでは、JavaSerializationFilterConfigを含む明示的なHazelcast設定を指定するか、事前に構築されたHazelcastInstanceを注入してください。ユーザー提供の設定がCamelによって上書きされることはありません。あるいは、JVM全体のフィルタ -Djdk.serialFilter=!java.net.;java.;javax.;org.apache.camel.;!* を設定し、Hazelcastクラスタの認証とTLSを有効にして、クラスタに到達できるユーザーを制限してください。

ソース

• CVE-2026-78162PoC

  CVE-2026-78162 の実行可能な概念実証（PoC）再現ツール。Spring Boot と Quarkus の両環境において、Apache Camel camel-hazelcast における認証不要の Java デシリアライゼーションを実証します。