CVE-2026-40858

요약

camel-infinispan 컴포넌트의 ProtoStream 기반 원격 집계 저장소는 원격 Infinispan 캐시에서 읽은 데이터를 `java.io.ObjectInputStream`을 사용하여 역직렬화하며, 어떠한 `ObjectInputFilter`도 적용하지 않습니다. Camel 애플리케이션에서 사용하는 Infinispan 캐시에 쓰기 권한이 있는 공격자는 조작된 직렬화된 Java 객체를 주입할 수 있으며, 이 객체는 `get` 또는 `recover`와 같은 일반적인 집계 저장소 작업 중에 읽힐 때 애플리케이션 컨텍스트에서 임의 코드 실행을 초래합니다. 이 문제는 Apache Camel에 영향을 미칩니다: 4.0.0 이상 4.14.7 미만, 4.15.0 이상 4.18.2 미만, 4.19.0 이상 4.20.0 미만. 사용자는 이 문제를 해결한 버전 4.20.0으로 업그레이드하는 것이 좋습니다. 4.14.x LTS 릴리스 스트림을 사용 중인 경우 4.14.7로 업그레이드하는 것이 좋습니다. 4.18.x 릴리스 스트림을 사용 중인 경우 4.18.2로 업그레이드하는 것이 좋습니다. JIRA 티켓: https://issues.apache.org/jira/browse/CAMEL-23322 은 이 문제를 해결한 다양한 커밋을 참조하며 더 많은 세부 정보를 제공합니다. 이 문제는 이전에 CVE-2024-22369, CVE-2024-23114 및 CVE-2026-25747에서 해결된 것과 동일한 취약점 클래스에 해당합니다.

• CVE-2026-33453익스플로잇

  세 가지 주요 Apache Camel 취약점에 대한 작동하는 개념 증명 익스플로잇과 상세 분석을 제공하며, CoAP 헤더 주입 및 원격 코드 실행으로 이어지는 안전하지 않은 역직렬화를 포함합니다.

• CVE-2026-40858PoC

  CVE-2026-40858 재현기 — Apache Camel camel-infinispan 원격 집계 저장소 안전하지 않은 역직렬화 (RCE)