CVE-2026-40048
Apache Camel PQC：FileBasedKeyLifecycleManager 中的不安全反序列化
- 已发布
- 2026年4月27日
- 已更新
- 2026年7月15日
- 分配 CNA
- apache
- 观察到的证据
- 2026年8月7日
初级CVSS
nvd · CVSS 3.1
CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H低 · 未来 30 天
- 百分位
- 38.3%
- 型号日期
- 2026年10月17日
EPSS 是统计估计，而不是确定性或影响衡量标准。将其与 CVSS、KEV 状态、暴露程度和您的环境相结合。
总结
Camel-PQC FileBasedKeyLifecycleManager 类使用 java.io.ObjectInputStream 反序列化配置密钥目录中 `<keyId>.key` 文件的内容，且未应用任何 ObjectInputFilter 或类加载限制。对 `java.security.KeyPair` 的强制类型转换仅在 `readObject()` 返回之后才进行求值，因此反序列化对象中任何 `readObject()` 的副作用都会在类型检查之前执行。能够向 Camel 应用程序所使用的密钥目录写入内容的攻击者——例如通过路径遍历进入该目录、密钥存储卷上文件系统权限配置错误、受损的密钥供应管道或符号链接攻击——可以放置一个精心构造的序列化 Java 对象，该对象在正常密钥生命周期操作期间被反序列化时，会导致在应用程序上下文中执行任意代码。此问题影响 Apache Camel：4.19.0 至 4.20.0 之前版本，以及 4.18.0 至 4.18.2 之前版本。建议用户升级至 4.20.0 版本，该版本通过将基于 java.io.ObjectInputStream 的密钥和元数据存储替换为标准 PKCS#8（私钥）/ X.509 SubjectPublicKeyInfo（公钥）Base64 JSON 编码来修复此问题。对于使用 4.18.x LTS 版本流的用户，请升级至 4.18.2。
来源
CVE-2026-40048 的复现工具：Apache Camel camel-pqc FileBasedKeyLifecycleManager 不安全反序列化（RCE）
CVE-2026-43867 的复现工具 — Apache Camel camel-pqc AwsSecretsManagerKeyLifecycleManager 不安全的密钥元数据反序列化（RCE）
CVE-2026-46590 的复现工具：Apache Camel camel-pqc 密钥生命周期不安全反序列化（FileBasedKeyLifecycleManager 通过 ObjectInputStream 进行旧版 .key 迁移），对 CVE-2026-40048 的修复不完整（已在 4.18.3/4.21.0 中修复）
负责任的使用
仅在您拥有或有权测试的系统上使用漏洞信息。 Kitploit 链接到公共研究元数据，并且不存储漏洞代码或恶意负载。