CVE-2026-27172
Açıklama
camel-consul bileşenindeki ConsulRegistry (org.apache.camel.component.consul.ConsulRegistry sınıfı ve bunun içindeki ConsulRegistryUtils.deserialize metodu), Consul KV deposundan Java ile serileştirilmiş değerleri okumakta ve bir ObjectInputFilter yapılandırmadan bunları ObjectInputStream.readObject() metoduna aktarmaktaydı. Bir Camel ConsulRegistry örneğinin desteklediği Consul KV deposuna yazabilen bir saldırgan, Camel'ın söz konusu kayıt defterinde bir sonraki aramayı gerçekleştirdiği sırada serisizleştirilecek kötü amaçlı bir serileştirilmiş Java nesnesi enjekte ederek Camel sürecinde rastgele kod çalıştırılmasına yol açabilir. Bu sorun, CVE-2024-22369, CVE-2024-23114 ve CVE-2026-25747 kapsamında diğer Camel bileşenleri için halihazırda ele alınan zafiyet sınıfıyla benzerlik göstermektedir ve bu CVE'lerin orijinal giderim süreci sırasında gözden kaçırılmıştır. Bu sorun şu Apache Camel sürümlerini etkilemektedir: 3.0.0'dan 4.14.6 öncesine kadar olanlar, 4.15.0'dan 4.18.1 öncesine kadar olanlar. Kullanıcıların sorunu gideren 4.19.0 sürümüne yükseltmeleri önerilir. Eğer kullanıcılar 4.14.x LTS yayın akışındaysa, 4.14.6 sürümüne; eğer 4.18.x yayın akışındalarsa, 4.18.1 sürümüne yükseltmeleri önerilmektedir.
Nasıl düzeltilir
- apache camel4.14.6, 4.18.1 ya da sonraki bir sürüm
- org.apache.camel:camel-consul4.14.6, 4.18.1 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| apache camel | 3.0.0 ≤ v < 4.14.6, 4.15.0 ≤ v < 4.18.1 | 4.14.6, 4.18.1 |
| org.apache.camel:camel-consulMaven | 3.0.0 ≤ v < 4.14.6, 4.15.0 ≤ v < 4.18.1 | 4.14.6, 4.18.1 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.