CVE-2026-43867

요약

# Apache Camel PQC 컴포넌트의 신뢰할 수 없는 데이터 역직렬화 취약점 Apache Camel PQC 컴포넌트에서 신뢰할 수 없는 데이터 역직렬화(Deserialization of Untrusted Data) 취약점이 발견되었습니다. camel-pqc 컴포넌트는 플러그 가능한 KeyLifecycleManager 구현을 통해 양자 내성(post-quantum) 키 메타데이터(KeyMetadata)를 유지합니다. AwsSecretsManagerKeyLifecycleManager.deserializeMetadata()는 구성된 AWS Secrets Manager 시크릿에서 해당 메타데이터를 읽어오는데, 저장된 값을 Base64 디코딩한 후 원시 java.io.ObjectInputStream.readObject()로 역직렬화하며 ObjectInputFilter나 클래스 허용 목록(allow-list)을 사용하지 않습니다. KeyMetadata로의 캐스트는 readObject()가 반환된 후에만 발생하므로, 조작된 객체의 readObject() 부작용은 타입 검사 이전에 실행됩니다. 이 메타데이터를 보관하는 AWS Secrets Manager 시크릿에 쓰기 권한(해당 시크릿에 대한 secretsmanager:PutSecretValue 필요)을 가진 사용자는 정상적인 키 수명주기 작업 중에 역직렬화되는 조작된 직렬화 객체를 저장할 수 있으며, 이로 인해 키를 관리하는 애플리케이션의 컨텍스트에서 코드 실행이 발생할 수 있습니다. 이는 독립적으로 보고되었으며 HashiCorp Vault 및 파일 기반 형제 관리자도 추가로 포함하는 CVE-2026-46590과 동일한 코드 경로의 동일한 근본 결함이며, 동일한 수정으로 해결됩니다. 둘 다 CVE-2026-40048(CAMEL-23200)의 불완전한 수정 후속 조치입니다. 이 문제는 Apache Camel 4.18.0 이상 4.18.3 미만, 4.19.0 이상 4.21.0 미만 버전에 영향을 미칩니다. 사용자는 이 문제를 해결한 4.21.0 버전으로 업그레이드하는 것이 권장됩니다. 4.18.x LTS 릴리스 스트림을 사용 중인 경우 4.18.3으로 업그레이드하는 것이 좋습니다. 즉시 업그레이드할 수 없는 배포 환경에서는 camel-pqc 키 메타데이터를 보관하는 AWS Secrets Manager 시크릿에 대한 쓰기 액세스를 제한하여 애플리케이션 자체 ID만 해당 시크릿에 대해 secretsmanager:PutSecretValue 권한을 갖도록 하고(최소 권한 IAM), PQC 키 자료는 신뢰 수준이 낮은 주체가 쓸 수 있는 데이터와 분리된 별도의 시크릿에 보관하십시오.

• CVE-2026-43867PoC

  CVE-2026-43867 재현기 — Apache Camel camel-pqc AwsSecretsManagerKeyLifecycleManager 안전하지 않은 키 메타데이터 역직렬화 (RCE)