CVE-2026-40048

Camel-PQC FileBasedKeyLifecycleManager sınıfı, yapılandırılmış anahtar dizinindeki `<keyId>.key` dosyalarının içeriğini herhangi bir ObjectInputFilter veya sınıf yükleme kısıtlaması uygulamadan java.io.ObjectInputStream kullanarak serisizleştirir. `java.security.KeyPair` türüne dönüştürme işlemi ancak `readObject()` döndükten sonra değerlendirilir; bu nedenle, serisizleştirilen nesnedeki tüm `readObject()` yan etkileri tür kontrolünden önce çalışır. Bir Camel uygulamasının kullandığı anahtar dizinine yazabilen bir saldırgan — örneğin dizine yönelik bir path traversal yoluyla, anahtarların saklandığı birimdeki hatalı yapılandırılmış dosya sistemi izinleri, ele geçirilmiş bir anahtar tedarik hattı veya bir sembolik bağlantı (symlink) saldırısı aracılığıyla — özel olarak hazırlanmış serileştirilmiş bir Java nesnesi yerleştirebilir ve bu nesne normal anahtar yaşam döngüsü işlemleri sırasında serisizleştirildiğinde uygulama bağlamında rastgele kod çalıştırılmasına yol açabilir. Bu sorun Apache Camel'ı etkilemektedir: 4.19.0 ile 4.20.0 arası ve 4.18.0 ile 4.18.2 arası sürümler. Kullanıcıların, java.io.ObjectInputStream tabanlı anahtar ve meta veri depolamasını standart PKCS#8 (özel anahtar) / X.509 SubjectPublicKeyInfo (genel anahtar) Base64 JSON kodlamasıyla değiştirerek sorunu gideren 4.20.0 sürümüne yükseltmeleri önerilir. 4.18.x LTS yayın akışındaki kullanıcılar için 4.18.2 sürümüne yükseltme yapılması önerilir.