CVE-2026-43867

总结

# Apache Camel PQC 组件中的不可信数据反序列化漏洞 Apache Camel PQC 组件存在不可信数据反序列化漏洞。camel-pqc 组件通过可插拔的 KeyLifecycleManager 实现来持久化后量子密钥元数据（KeyMetadata）。AwsSecretsManagerKeyLifecycleManager.deserializeMetadata() 从配置的 AWS Secrets Manager 密钥中读取该元数据，方法是对存储的值进行 Base64 解码，然后使用原始的 java.io.ObjectInputStream.readObject() 进行反序列化，且没有 ObjectInputFilter 或类白名单；对 KeyMetadata 的强制类型转换仅在 readObject() 返回之后才进行，因此精心构造的对象中的任何 readObject() 副作用都会在类型检查之前执行。能够写入保存此元数据的 AWS Secrets Manager 密钥的主体（需要对该密钥具有 secretsmanager:PutSecretValue 权限）可以存储一个精心构造的序列化对象，该对象将在正常的密钥生命周期操作期间被反序列化，从而可能导致在管理密钥的应用程序上下文中执行代码。这与 CVE-2026-46590 是相同的底层缺陷、位于相同的代码路径中，并通过相同的修复加以解决；CVE-2026-46590 是独立报告的，另外还涵盖了基于 HashiCorp Vault 和基于文件的同类管理器；两者都是 CVE-2026-40048（CAMEL-23200）修复不完整的后续问题。此问题影响 Apache Camel：4.18.0 至 4.18.3 之前版本，以及 4.19.0 至 4.21.0 之前版本。建议用户升级到修复了该问题的 4.21.0 版本。如果用户使用 4.18.x LTS 发布流，则建议升级到 4.18.3。对于无法立即升级的部署，请限制对保存 camel-pqc 密钥元数据的 AWS Secrets Manager 密钥的写入访问，使只有应用程序自身的身份对该密钥拥有 secretsmanager:PutSecretValue 权限（最小权限 IAM），并将 PQC 密钥材料保存在与权限较低的主体可写入的任何数据相分离的密钥中。

• CVE-2026-43867PoC

  CVE-2026-43867 的复现工具 — Apache Camel camel-pqc AwsSecretsManagerKeyLifecycleManager 不安全的密钥元数据反序列化（RCE）