CVE-2026-78162

요약

Apache Camel의 신뢰할 수 없는 데이터 역직렬화(Deserialization of Untrusted Data) 취약점입니다. 이 문제는 Apache Camel 4.0.0부터 4.18.5 이전, 4.19.0부터 4.22.1 이전 버전에 영향을 미칩니다. camel-hazelcast 컴포넌트는 자체 구성으로 생성하는 인스턴스에 기본 Hazelcast JavaSerializationFilterConfig를 적용하는데, 이는 CVE-2026-43865에서 도입된 보호 조치입니다. 그러나 해당 변경 사항은 Camel이 자체적으로 구성하는 두 가지 구성 경로에는 적용되지 않아, 그 경로들은 Java 역직렬화가 제한되지 않은 Hazelcast 인스턴스를 계속 생성했습니다. ReplicatedHazelcastAggregationRepository는 HazelcastAggregationRepository를 확장하지만 super.doStart()를 호출하지 않고 doStart()를 재정의하여 부트스트랩 블록의 자체 복사본을 유지하므로 필터를 전혀 받지 못했습니다. 따라서 hazelcastInstance를 제공하지 않고 이를 사용하는 라우트는 백킹 ReplicatedMap에서 읽은 값을 클래스 제한 없이 역직렬화하는 Hazelcast 멤버를 시작합니다. HazelcastDefaultComponent#getOrCreateHzClientInstance()는 hazelcastMode=client가 선택되고 참조된 ClientConfig나 hazelcastConfigUri가 제공되지 않을 때 자체 ClientConfig를 구성하며, 마찬가지로 필터를 적용하지 않아 그 외에는 동일한 구성임에도 클라이언트 모드 엔드포인트가 노드 모드 엔드포인트와 다르게 동작했습니다. 두 경우 모두, 영향을 받는 인스턴스가 연결된 Hazelcast 클러스터에 게시할 수 있는 공격자는 Camel이 교환을 처리하기 전에 Hazelcast 자체 직렬화 계층 내부에서 자신이 선택한 직렬화된 Java 객체가 역직렬화되도록 할 수 있으며, 그 결과 원격 코드 실행이 발생합니다. Hazelcast 클러스터는 기본적으로 인증과 TLS가 모두 활성화되어 있지 않습니다. 클라이언트 모드 선택은 보안 옵션이 아니라 토폴로지 선택이므로, 어느 경로도 배포가 안전하지 않은 동작을 선택하도록 요구하지 않았습니다. 사용자는 이 문제를 수정한 버전 4.23.0으로 업그레이드할 것을 권장합니다. 사용자가 4.22.x 릴리스 스트림을 사용 중이라면 4.22.1로 업그레이드할 것을 권장합니다. 사용자가 4.18.x 릴리스 스트림을 사용 중이라면 4.18.5로 업그레이드할 것을 권장합니다. 4.14.x 릴리스 스트림 및 그 이전 버전은 이 문제가 해결되기 전에 수명이 종료되었으며 수정 사항을 받지 못하므로, 해당 라인의 배포는 지원되는 릴리스로 이동해야 합니다. 즉시 업그레이드할 수 없는 배포의 경우 JavaSerializationFilterConfig를 포함한 명시적 Hazelcast 구성을 제공하거나 미리 빌드된 HazelcastInstance를 주입하십시오. 사용자가 제공한 구성은 Camel이 절대 덮어쓰지 않기 때문입니다. 또는 JVM 전체 필터 -Djdk.serialFilter=!java.net.;java.;javax.;org.apache.camel.;!*를 설정하고 Hazelcast 클러스터 인증 및 TLS를 활성화하여 클러스터에 접근할 수 있는 대상을 제한하십시오.

소스

• CVE-2026-78162PoC

  CVE-2026-78162에 대한 실행 가능한 개념 증명 재현기로, Spring Boot와 Quarkus 전반에 걸쳐 Apache Camel camel-hazelcast에서 발생하는 인증되지 않은 Java 역직렬화를 시연합니다.