CVE-2026-43866

Apache Camel, Apache Camel JMS komponentində Etibarsız Məlumatların Deserializasiyası zəifliyi. camel-jms-dəki JmsBinding.extractBodyFromJms() və camel-sjms-dəki ekvivalent JmsBinding, mapJmsMessage seçimi aktiv olduqda (defolt olaraq) və Camel JMS istehlakçısı kimi çıxış etdikdə, daxil olan JMS ObjectMessage-un yükünü jakarta.jms.ObjectMessage.getObject() vasitəsilə deserializasiya edir. CVE-2026-40860 sərtləşdirməsi deserializasiyadan sonrakı sinif yoxlaması əlavə etdi ki, bu da java.**;javax.**;org.apache.camel.**;!* defolt icazə siyahısından kənar sinifləri rədd edir. Lakin org.apache.camel.support.DefaultExchangeHolder özü icazə siyahısına daxil olan org.apache.camel.** ad məkanında yerləşdiyi üçün, yuxarı səviyyəli obyekti DefaultExchangeHolder olan ObjectMessage bu yoxlamadan keçir. Qəbul edən tərəf daha sonra transferExchange seçiminin aktiv olmasını tələb etmədən onun üzərində DefaultExchangeHolder.unmarshal() çağırır - bu asimmetrik etimad sərhədidir, çünki göndərən tərəf ObjectMessage və transferExchange emalını şərtləndirir, qəbul edən tərəf isə şərtləndirmirdi - və holder-in hər qeyri-null sahəsini Exchange-ə yazır: mesaj gövdəsi, IN və OUT başlıqları, exchange xassələri, dəyişənlər, exchange id və istisna. Buna görə də, təsirlənmiş Camel tətbiqi tərəfindən istehlak edilən növbəyə və ya mövzuya ObjectMessage yayımlaya bilən hücumçu, deserializasiya gadget zəncirinə ehtiyac olmadan, yalnız universal etimad qazanmış java.lang və java.util tiplərindən istifadə edərək, marşrutlaşdırma və başlıqları, exchange xassələrini və xəta emalını manipulyasiya etmək üçün ixtiyari Exchange vəziyyəti yeridə bilər. Eyni emal camel-sjms və camel-sjms2-yə, həmçinin JmsComponent və JmsBinding üzərində qurulmuş JMS ailəsi komponentlərinə: camel-amqp, camel-activemq və camel-activemq6-ya tətbiq olunur. Bu, CVE-2026-40860 düzəlişindəki qüsur deyil, ondan yan keçmədir. Bu problem Apache Camel-ə təsir edir: 3.0.0-dan 4.14.8-dən əvvələ qədər, 4.15.0-dan 4.18.3-dən əvvələ qədər, 4.19.0-dan 4.21.0-dan əvvələ qədər; Apache Camel: 3.0.0-dan 4.14.8-dən əvvələ qədər, 4.15.0-dan 4.18.3-dən əvvələ qədər, 4.19.0-dan 4.21.0-dan əvvələ qədər. İstifadəçilərə problemi həll edən 4.21.0 versiyasına yüksəltmə tövsiyə olunur. İstifadəçilər 4.14.x LTS buraxılış axınındadırsa, 4.14.8-ə yüksəltmələri təklif olunur. İstifadəçilər 4.18.x buraxılış axınındadırsa, 4.18.3-ə yüksəltmələri təklif olunur. Yüksəltmədən sonra camel-jms, camel-sjms və JMS ailəsi komponentlərində JMS ObjectMessage emalı defolt olaraq deaktivdir (yeni objectMessageEnabled seçimi komponent və endpoint səviyyəsində defolt olaraq false-dur), buna görə daxil olan ObjectMessage - DefaultExchangeHolder yükü də daxil olmaqla - seçim açıq şəkildə aktivləşdirilmədikcə artıq deserializasiya edilmir; objectMessageEnabled=true yalnız istehlak edilən JMS təyinatı yalnız etibarlı istehsalçılar tərəfindən qidalandıqda təyin edilməlidir. Dərhal yüksəltə bilməyən yerləşdirmələr üçün JMS broker avtorizasiyası vasitəsilə Camel tərəfindən istehlak edilən növbələrə və mövzulara yayımlama girişini etibarlı istehsalçılarla məhdudlaşdırın və ObjectMessage gövdələrini xəritələyən JMS istehlakçılarını etibarsız şəbəkələrə məruz qoymayın; JMS provayderinin deserializasiya icazə siyahısı bu xüsusi yan keçməni yumşaltmır, çünki hazırlanmış yük yalnız universal etimad qazanmış siniflərdən istifadə edir.