CVE-2026-46590

요약

# Apache Camel PQC 컴포넌트의 신뢰할 수 없는 데이터 역직렬화 취약점 Apache Camel PQC 컴포넌트에서 신뢰할 수 없는 데이터 역직렬화(Deserialization of Untrusted Data) 취약점이 발견되었습니다. camel-pqc 컴포넌트는 플러그 가능한 KeyLifecycleManager 구현을 통해 양자 내성(post-quantum) 키 메타데이터(KeyMetadata)를 유지합니다. HashicorpVaultKeyLifecycleManager와 AwsSecretsManagerKeyLifecycleManager는 구성된 시크릿 백엔드에서 해당 메타데이터를 읽어올 때 Base64로 래핑된 값을 ObjectInputFilter나 클래스 허용 목록 없이 원시 `java.io.ObjectInputStream.readObject()`로 역직렬화합니다. KeyMetadata로의 캐스팅은 `readObject()`가 반환된 후에만 이루어지므로, 조작된 객체의 `readObject()` 부작용이 타입 검사 이전에 실행됩니다. FileBasedKeyLifecycleManager에도 동일한 필터링 없는 레거시 마이그레이션 읽기(저장된 KeyPair 및 KeyMetadata용)가 남아 있었습니다. 운영자가 제어하는 백엔드(즉, HashiCorp Vault KV 경로 또는 AWS Secrets Manager 시크릿 - Vault 토큰 또는 `secretsmanager:PutSecretValue` 권한 필요)에 쓰기 권한이 있는 사용자는 정상적인 키 수명주기 작업 중에 역직렬화되는 조작된 직렬화 객체를 저장할 수 있으며, 이로 인해 키를 관리하는 애플리케이션의 컨텍스트에서 코드 실행이 발생할 수 있습니다. 이는 CVE-2026-40048(CAMEL-23200)의 불완전한 수정 후속 조치로, 해당 CVE는 FileBasedKeyLifecycleManager가 메타데이터를 JSON / PKCS#8 / X.509 형식으로 저장하도록 변경했지만 ObjectInputFilter를 추가하지 않았고, Vault 및 AWS 형제 매니저를 포함하지 않았으며, FileBasedKeyLifecycleManager 자체의 레거시 마이그레이션 역직렬화도 필터링하지 않은 채로 남겨두었습니다. 이 문제는 Apache Camel 4.18.0 이상 4.18.3 미만, 4.19.0 이상 4.21.0 미만 버전에 영향을 미칩니다. 사용자는 이 문제를 해결한 4.21.0 버전으로 업그레이드하는 것이 권장됩니다. 4.18.x LTS 릴리스 스트림을 사용 중인 경우 4.18.3으로 업그레이드하는 것이 좋습니다. 즉시 업그레이드할 수 없는 배포 환경에서는 키 백엔드에 대한 쓰기 액세스를 제한하여 애플리케이션 자체의 ID만 camel-pqc 시크릿을 쓸 수 있도록 하고(최소 권한 HashiCorp Vault 정책 및 `secretsmanager:PutSecretValue` IAM), PQC 키 자료는 신뢰 수준이 낮은 주체가 쓸 수 있는 데이터와 분리된 백엔드에 보관하십시오.

• CVE-2026-46590PoC

  CVE-2026-46590 재현기: Apache Camel camel-pqc key-lifecycle 안전하지 않은 역직렬화(FileBasedKeyLifecycleManager의 레거시 .key 마이그레이션이 ObjectInputStream을 통해 수행됨), CVE-2026-40048의 불완전한 수정(4.18.3/4.21.0에서 수정됨)