CVE-2026-88900

요약

Apache Camel의 Camel-Jgroups 컴포넌트에서 신뢰할 수 없는 데이터의 역직렬화(Deserialization of Untrusted Data) 취약점이 발생합니다. 이 문제는 Apache Camel 4.0.0 이상 4.18.5 미만, 4.19.0 이상 4.22.1 미만 버전에 영향을 미칩니다. CamelJGroupsReceiver가 jgroups 컨슈머가 수신하는 모든 메시지에 대해 exchange가 라우팅되기 전에 호출하는 JGroupsEndpoint.createExchange(Message)는 org.jgroups.Message.getObject()로부터 exchange 본문을 설정했습니다. Camel jgroups 프로듀서가 전송하는 메시지 유형인 ObjectMessage의 경우, JGroups는 메시지가 도착하면 자체 수신 스레드에서 ObjectInputStream을 통해 페이로드를 Java 역직렬화하며, getObject()는 그 결과 객체를 반환합니다. 배포 환경에서 JVM 전역 직렬화 필터를 설정하지 않은 한 해당 경로에는 java.io.ObjectInputFilter가 적용되지 않았습니다. camel-jgroups는 아무것도 설치하지 않았고, 영향을 받는 릴리스와 함께 제공되는 JGroups 버전도 자체적으로 아무것도 적용하지 않으므로, 애플리케이션 클래스패스에 있는 모든 직렬화 가능 클래스가 인스턴스화되고 그 역직렬화 콜백이 실행될 수 있었습니다. 채널이나 channelProperties 옵션이 구성되지 않은 경우, 컨슈머는 new JChannel()로 채널을 생성하는데, 이는 기본 JGroups 프로토콜 스택으로서 AUTH 프로토콜과 암호화 없이 UDP를 통해 멀티캐스트하므로, 클러스터의 멀티캐스트 그룹 또는 바인드 포트에 도달할 수 있는 모든 호스트가 자격 증명 없이 클러스터에 참여하여 컨슈머에 메시지를 보낼 수 있습니다. 이러한 호스트는 클래스패스에 사용 가능한 역직렬화 가젯 체인이 존재할 때 Camel 프로세스에서 원격 코드 실행으로 이어지는 조작된 직렬화 객체를 보낼 수 있으며, 컨슈머에는 기본값이 아닌 옵션이 필요하지 않았습니다. JGroups가 Camel의 리시버가 실행되기 전에 객체를 구체화하기 때문에, Camel이 수행하는 검사는 역직렬화된 결과만 검사할 수 있을 뿐 역직렬화 중에 실행되는 코드를 막을 수 없으므로, 이 문제를 해결하려면 완화 방안에 설명된 대로 페이로드가 읽히기 전에 적용되는 제어가 필요합니다. 악용에는 클러스터의 멀티캐스트 그룹 또는 바인드 포트에 대한 네트워크 접근이 필요하며, 기본 UDP 멀티캐스트 전송을 사용하는 경우 이는 인접 네트워크상의 호스트를 의미하고, 또한 클래스패스에 사용 가능한 가젯 체인이 필요하므로 심각도는 치명적(critical)이 아닌 높음(high)으로 평가됩니다. 사용자는 이 문제를 수정한 버전 4.23.0으로 업그레이드할 것을 권장합니다. 4.22.x 릴리스 스트림을 사용 중인 경우 4.22.1로 업그레이드할 것을 권장합니다. 4.18.x 릴리스 스트림을 사용 중인 경우 4.18.5로 업그레이드할 것을 권장합니다. 4.14.x 릴리스 스트림 및 그 이전 버전, 그리고 4.15.x~4.17.x 및 4.19.x~4.21.x 릴리스 라인은 이 문제가 해결되기 전에 지원이 종료되었으며 수정 사항을 받지 못하므로, 해당 라인을 사용하는 배포 환경은 지원되는 릴리스로 이동해야 합니다.

소스

• CVE-2026-88900PoC

  CVE-2026-88900(camel-jgroups의 안전하지 않은 Java 역직렬화 취약점)을 재현하는 실행 가능한 Spring Boot 개념 증명으로, 취약한 동작과 패치된 동작을 비교해 보여줍니다.