CVE-2026-40859

Резюме

# Уязвимость десериализации недоверенных данных в Apache Camel Уязвимость десериализации недоверенных данных в Apache Camel. Компонент camel-vertx-http десериализует тела HTTP-ответов с Content-Type application/x-java-serialized-object с использованием необработанного java.io.ObjectInputStream, без применения какого-либо ObjectInputFilter (VertxHttpHelper.deserializeJavaObjectFromStream). Этот путь десериализации достигается только тогда, когда конечная точка-производитель настроена с transferException=true (или на уровне компонента allowJavaSerializedObject=true), а throwExceptionOnFailure оставлено на значении по умолчанию true; в этом случае тело HTTP-ответа бэкенда со статусом 5xx и типом содержимого application/x-java-serialized-object десериализуется без каких-либо ограничений на классы. Злоумышленник, контролирующий бэкенд, с которым взаимодействует производитель Camel — через позицию «человек посередине» на незашифрованном (обычном HTTP) соединении или путём компрометации бэкенд-сервиса — может вернуть специально сформированный сериализованный Java-объект и, если в classpath присутствует подходящая gadget-цепочка, добиться удалённого выполнения кода на хосте приложения Camel. Этот путь недостижим в конфигурации по умолчанию, где transferException имеет значение false. Проблема затрагивает Apache Camel: с 4.0.0 до 4.14.8, с 4.15.0 до 4.18.3, с 4.19.0 до 4.20.0. Пользователям рекомендуется обновиться до версии 4.20.0, которая устраняет проблему. Если пользователи находятся на ветке выпусков LTS 4.14.x, им рекомендуется обновиться до 4.14.8. Если пользователи находятся на ветке выпусков 4.18.x, им рекомендуется обновиться до 4.18.3. После обновления десериализация, выполняемая обеими вспомогательными утилитами, ограничивается стандартным ObjectInputFilter (allow-list java.**;javax.**;org.apache.camel.**;!*), который можно настроить через новую опцию конечной точки deserializationFilter или системное свойство JVM -Djdk.serialFilter. Для развёртываний, которые не могут обновиться немедленно: не включайте transferException=true (или allowJavaSerializedObject=true) на производителях, взаимодействующих с недоверенными или доступными по сети бэкендами; убедитесь, что соединения производителя используют TLS (https), чтобы ответ не мог быть подменён «человеком посередине»; и, где эта опция требуется, задайте явный allow-list -Djdk.serialFilter (например, java.**;org.apache.camel.**;!*), чтобы ограничить десериализацию.

Источники