CVE-2026-78165

Apache Camel Spring Redis komponentində etibarsız məlumatların deserializasiyası zəifliyi. Bu problem Apache Camel-in aşağıdakı versiyalarına təsir edir: 2.11.0-dan 4.18.5-ə qədər və 4.19.0-dan 4.22.1-ə qədər. Heç bir serializer seçimi konfiqurasiya edilmədikdə, RedisConfiguration.getSerializer tərəfindən tənbəl şəkildə (lazily) sadə bir JdkSerializationRedisSerializer yaradılırdı və bu nümunə komponentin həyata keçirdiyi hər bir oxuma əməliyyatı üçün istifadə olunurdu. Spring-in implementasiyası DeserializingConverter vasitəsilə DefaultDeserializer-ə müraciət edir, o isə baytları ConfigurableObjectInputStream ilə oxuyur və axına heç bir java.io.ObjectInputFilter təyin etmir, buna görə də ixtiyari seriyallaşdırılmış sinif qrafiki formalaşır və onun readObject metodu icra edilir. RedisConsumer.setBody, Exchange qurulmamışdan və ona görə də hər hansı marşrut məntiqi mesajı yoxlamamışdan əvvəl, abunə olunmuş kanallara göndərilən hər bir mesajın xammal baytlarına həmin serializer-i tətbiq edirdi, beləliklə, abunə olunmuş kanal üzərindən PUBLISH əmrini verə bilən aktor birbaşa deserializasiya mənbəyinə çata bildiyi üçün risk yaranırdı. Eyni standart serializer RedisConfiguration.createDefaultTemplate tərəfindən qurulan RedisTemplate-in əsasını təşkil edirdi, buna görə də istehsalçı (producer) oxu əmrləri olan GET, HGET, HGETALL və HVALS Redis açar sahəsində saxlanılan hər şeyi deserializasiya edirdi və SpringRedisIdempotentRepository həmin template-dən istifadə edirdi. Xüsusi redisTemplate konfiqurasiyası istehlakçı yolunu bağlamırdı, çünki RedisConsumer.setBody template-ə qoşulmuş serializer-i deyil, birbaşa getSerializer-i oxuyur; beləliklə, öz template-nə String serializer inteqrasiya etmiş tətbiqlər, serializer seçimini də təyin etmədikləri təqdirdə, istehlakçı tərəfdə zəifliyə məruz qalmağa davam edirdi. Komponent heç vaxt özü java.io.ObjectInputStream yaratmadığı üçün, filtrlənməmiş Java deserializasiyasına dair Camel kod bazasının əvvəlki yoxlamaları bu hissəni aşkar etməmişdi. Bu davranış komponentin ilk dəfə 2.11.0 versiyasında təqdim edilməsinə qədər geri gedir və bu düzəlişə qədər dəyişməz qalıb. İstifadəçilərə problemi aradan qaldıran 4.23.0 versiyasına yüksəltmə etmək tövsiyə olunur. Əgər istifadəçilər 4.22.x versiya axınındadırlarsa, 4.22.1-ə, 4.18.x versiya axınındadırlarsa, 4.18.5-ə yüksəltmə etmələridir. 4.14.x və daha əvvəlki versiya axınları bu problem həll olunmazdan əvvəl dəstəkləmə müddətini (end of life) tamamladığı üçün onlar üçün düzəliş təqdim edilməyəcək, buna görə də həmin versiyalardakı tətbiqlər dəstəklənən versiyaya keçməlidir. Təcili yüksəltmə edə bilməyən tətbiqlər üçün JVM səviyyəsində jdk.serialFilter sistem xassəsini təyin edin (məsələn, -Djdk.serialFilter=!java.net.**;java.**;javax.**;org.apache.camel.**;!* ), çünki təsirlənən kod yolu java.io.ObjectInputStream vasitəsilə oxuduğu üçün bu xassəyə riayət edir; yaxud serializer son nöqtə seçimini Java seriyallaşdırmasından istifadə etməyən StringRedisSerializer kimi bir serializer-ə təyin edin və qeyd edin ki, bu, yalnız xüsusi redisTemplate-də deyil, həm də serializer seçimi olaraq təyin edilməlidir. Dərin müdafiə (defence in depth) tədbiri olaraq, Redis instansiyasında autentifikasiyanı tələb edin, abunə olunmuş kanallara hansı klientlərin PUBLISH edə biləcəyini məhdudlaşdırın və Camel tərəfindən istifadə edilən Redis instansiyasını etibarsız şəbəkələrə açmayın.