CVE-2026-88900

概要

Apache Camel の Camel-Jgroups コンポーネントにおける信頼できないデータのデシリアライズに関する脆弱性。この問題は Apache Camel に影響します: 4.0.0 から 4.18.5 より前、4.19.0 から 4.22.1 より前。JGroupsEndpoint.createExchange(Message) は、jgroups コンシューマーが受信したすべてのメッセージに対して、exchange がルーティングされる前に CamelJGroupsReceiver が呼び出すもので、exchange のボディを org.jgroups.Message.getObject() から設定していました。ObjectMessage（Camel の jgroups プロデューサーが送信するメッセージ型）の場合、JGroups はメッセージの到着時に自身の受信スレッド上で ObjectInputStream を通じてペイロードを Java デシリアライズし、getObject() はその結果のオブジェクトを返します。デプロイメントが JVM 全体のシリアライゼーションフィルターを設定していない限り、この経路には java.io.ObjectInputFilter が適用されていませんでした: camel-jgroups は何もインストールしておらず、影響を受けるリリースに同梱されている JGroups のバージョンも独自のフィルターを適用しないため、アプリケーションのクラスパス上の任意のシリアライズ可能なクラスがインスタンス化され、そのデシリアライズコールバックが実行される可能性がありました。チャネルまたは channelProperties オプションが設定されていない限り、コンシューマーは new JChannel()（標準の JGroups プロトコルスタック）でチャネルを作成します。これは AUTH プロトコルなし、暗号化なしで UDP 上でマルチキャストするため、クラスターのマルチキャストグループまたはバインドポートに到達できる任意のホストが、認証情報なしでクラスターに参加し、コンシューマーにメッセージを送信できます。そのようなホストは、クラスパス上に利用可能なデシリアライズガジェットチェーンが存在する場合、Camel プロセスでのリモートコード実行につながる細工されたシリアライズオブジェクトを送信でき、コンシューマー側で非デフォルトのオプションは必要ありませんでした。JGroups は Camel のレシーバーが実行される前にオブジェクトを実体化するため、Camel によるチェックはデシリアライズ後の結果を検査することしかできず、デシリアライズ中に実行されるコードを阻止できません。そのため、この問題をクローズするには、緩和策で説明されているように、ペイロードが読み取られる前に適用される制御も必要です。悪用には、クラスターのマルチキャストグループまたはバインドポートへのネットワークアクセス（デフォルトの UDP マルチキャストトランスポートでは、隣接ネットワーク上のホストを意味します）と、クラスパス上の利用可能なガジェットチェーンが必要です。これが、深刻度が critical ではなく high と評価されている理由です。ユーザーは、この問題を修正したバージョン 4.23.0 へのアップグレードを推奨されます。4.22.x リリースストリームを使用している場合は、4.22.1 へのアップグレードを推奨します。4.18.x リリースストリームを使用している場合は、4.18.5 へのアップグレードを推奨します。4.14.x リリースストリーム以前、および 4.15.x から 4.17.x、4.19.x から 4.21.x のリリースラインは、この問題が解決される前にサポート終了となっており、修正は提供されないため、これらのラインでのデプロイメントはサポート対象のリリースに移行する必要があります。

ソース

• CVE-2026-88900PoC

  CVE-2026-88900（camel-jgroups の安全でない Java デシリアライゼーション脆弱性）を再現する実行可能な Spring Boot の概念実証で、影響を受ける動作と修正済みの動作を示します。