CVE-2026-42527

Apache Camel-də etibarsız məlumatların deserializasiyası zəifliyi. Bir neçə Apache Camel komponenti ilə təmin edilən və dərin müdafiə deserializasiya filtrləməsi üçün nəzərdə tutulan standart ObjectInputFilter şablonu ('java.**;javax.**;org.apache.camel.**;!*', və ya aggregation-repository komponentlərindəki 'javax.**' olmayan variant), hashCode/equals/readObject metodları şəbəkə giriş-çıxışını (I/O) yerinə yetirən sinifləri, xüsusilə java.net.URL və java.net.InetAddress siniflərini qəbul edən rekursiv 'java.**' globundan istifadə edir. Hücumçu təsirlənmiş Camel istehlakçısına Java-seriyalaşdırılmış fayl göndərə bildikdə, java.net.URL açarları olan bir HashMap-in (və ya elementləri üzərində hashCode çağıran hər hansı kolleksiyanın) deserializasiyası, deserializasiyanın yan təsiri zamanı JVM-in hücumçu tərəfindən təyin edilmiş hosta DNS sorğuları göndərməsinə səbəb olur. Sinif səviyyəsində filtr yoxlaması uğurlu olur, çünki nəticədə alınan obyektin sinfi (HashMap) ağ siyahıya daxildir; DNS sorğusu hücumçunun idarə etdiyi DNS serverində müşahidə oluna bilir ki, bu da kənar kanal (out-of-band side channel) yaradır. Bu risk camel-jms ailəsində daha yüksəkdir, çünki mapJmsMessage=true (standart) olduqda JmsBinding.extractBodyFromJms şərtsiz olaraq ObjectMessage.getObject() metodunu çağırır. Təsirlənmiş komponentlər: camel-jms, camel-sjms, camel-amqp, camel-mina, camel-netty, camel-netty-http, camel-vertx-http, camel-infinispan və aggregation repository komponentləri olan camel-leveldb, camel-cassandraql, camel-consul, camel-sql (JDBC aggregation repository). Bu problem Apache Camel-in aşağıdakı versiyalarına təsir edir: 4.14.0-dan 4.14.8-ə qədər, 4.15.0-dan 4.18.3-ə qədər, 4.19.0-dan 4.21.0-a qədər. İstifadəçilərə CAMEL-23372 düzəlişi tətbiq edilmiş versiyalara yeniləmək tövsiyə olunur: 4.21.x seriyası üçün 4.21.0, 4.18.x seriyası üçün 4.18.3 və 4.14.x seriyası üçün 4.14.8. Dərhal yenilənməsi mümkün olmayan sistemlər üçün əsas tədbir kimi JMS provayder tərəfdə ağ siyahı konfiqurasiya etmək (Apache ActiveMQ Artemis 'deserializationAllowList' / 'deserializationDenyList', Apache ActiveMQ Classic 'org.apache.activemq.SERIALIZABLE_PACKAGES') və/və ya endpoint səviyyəsində 'deserializationFilter' seçimi və ya JVM-geniş '-Djdk.serialFilter' sistem xassəsi vasitəsilə kodu örtüşdürərək aşkar qadağa tətbiq etmək tövsiyə olunur: '!java.net.**;java.**;javax.**;org.apache.camel.**;!*' (və ya javax.** daxil olmayan aggregation-repository komponentləri üçün '!java.net.**;java.**;org.apache.camel.**;!*').