CVE-2026-40858

Resumo

O repositório de agregação remota baseado em ProtoStream do componente camel-infinispan desserializa dados lidos de um cache Infinispan remoto usando `java.io.ObjectInputStream` sem aplicar nenhum `ObjectInputFilter`. Um atacante que possa gravar no cache Infinispan usado por uma aplicação Camel pode injetar um objeto Java serializado malicioso que, quando lido durante operações normais do repositório de agregação, como `get` ou `recover`, resulta em execução arbitrária de código no contexto da aplicação. Este problema afeta o Apache Camel: de 4.0.0 antes de 4.14.7, de 4.15.0 antes de 4.18.2, de 4.19.0 antes de 4.20.0. Recomenda-se que os usuários atualizem para a versão 4.20.0, que corrige o problema. Se os usuários estiverem no fluxo de versões LTS 4.14.x, sugere-se que atualizem para 4.14.7. Se os usuários estiverem no fluxo de versões 4.18.x, sugere-se que atualizem para 4.18.2. O ticket JIRA: https://issues.apache.org/jira/browse/CAMEL-23322 refere-se aos vários commits que resolveram o problema e contém mais detalhes. Este problema segue a mesma classe de vulnerabilidade anteriormente abordada em CVE-2024-22369, CVE-2024-23114 e CVE-2026-25747.

• CVE-2026-33453Exploit

  Fornece exploits de prova de conceito funcionais e análise detalhada para três vulnerabilidades críticas do Apache Camel, incluindo injeção de cabeçalho CoAP e desserialização insegura que levam à execução remota de código.

• CVE-2026-40858PoC