CVE-2026-40473
Açıklama
camel-mina bileşeninin MinaConverter.toObjectInput(IoBuffer) tip dönüştürücüsü, herhangi bir ObjectInputFilter veya sınıf yükleme kısıtlaması uygulamadan bir IoBuffer'ı java.io.ObjectInputStream içine sarar. Bir Camel rotası, camel-mina'yı bir TCP veya UDP tüketicisi olarak kullandığında ve ObjectInput'a dönüştürme talep ettiğinde (örneğin getBody(ObjectInput.class) veya @Body ObjectInput aracılığıyla), MINA tüketici portuna ağ üzerinden özel olarak hazırlanmış serileştirilmiş bir Java nesnesi gönderen bir saldırgan, readObject() sırasında uygulama bağlamında rastgele kod çalıştırılmasını tetikleyebilir. Bu sorun şu Apache Camel sürümlerini etkilemektedir: 3.0.0 ile 4.14.6 arası, 4.15.0 ile 4.18.2 arası, 4.19.0 ile 4.20.0 arası. Kullanıcıların sorunu gideren 4.20.0 sürümüne yükseltmeleri önerilir. Eğer kullanıcılar 4.14.x LTS yayın akışındaysa, 4.14.6 sürümüne; 4.18.x yayın akışındaysa, 4.18.2 sürümüne yükseltmeleri önerilir.
Nasıl düzeltilir
- apache camel4.14.6, 4.18.2 ya da sonraki bir sürüm
- org.apache.camel:camel-mina4.14.6, 4.18.2, 4.20.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| apache camel | 3.0.0 ≤ v < 4.14.6, 4.15.0 ≤ v < 4.18.2, 4.19.0 | 4.14.6, 4.18.2 |
| org.apache.camel:camel-minaMaven | 3.0.0 ≤ v < 4.14.6, 4.15.0 ≤ v < 4.18.2, 4.19.0 ≤ v < 4.20.0 | 4.14.6, 4.18.2, 4.20.0 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.