CVE-2026-46590 — camel-pqc 鍵ライフサイクルにおける安全でないデシリアライゼーション

同じ Apache Camel の脆弱性に対する実行可能な概念実証（PoC）再現コードで、ランタイムごとに 1 つ用意しています：

どちらも影響を受けるバージョンです（4.18.3 / 4.21.0 で修正済み）。また、両方とも同一の欠陥を実証しています： FileBasedKeyLifecycleManager はポスト量子鍵を PKCS#8/X.509 JSON として永続化しますが、レガシー（Java シリアライズ）鍵ファイルの移行には未加工の ObjectInputStream を ObjectInputFilter なしで 使用します — これは CVE-2026-40048 の不完全な修正の残骸です。getKey(keyId) は migrateLegacyKey() にフォールバックし、攻撃者が仕掛けた <keyId>.key ファイルをデシリアライズします。KeyPair へのキャストは readObject() が戻った 後 にのみ行われるため、細工されたオブジェクトが先に実行されます（CWE-502）。

各サブディレクトリは、独自の Dockerfile、docker-compose.yml、README を備えた自己完結型プロジェクトです。つまり、どちらの場合も次のようになります：

cd camel-spring-boot   # or: cd camel-quarkus
mvn clean package
docker compose up -d --build
curl -s http://localhost:8080/exploit/attack
docker compose down

脆弱性の概要

アドバイザリ: https://camel.apache.org/security/CVE-2026-46590.html

免責事項

これらの再現コードは、一般に公開され修正済みの脆弱性に対するセキュリティ研究および許可されたテスト専用として提供されます。明示的な許可なしにシステムに対して使用しないでください。