CVE-2026-42527

Apache Camel'da Güvenilmeyen Verilerin Deserialization'ı zafiyeti. Derinlemesine savunma deserialization filtrelemesi için birkaç Apache Camel bileşeniyle birlikte gelen varsayılan ObjectInputFilter deseni ('java.**;javax.**;org.apache.camel.**;!*', veya aggregation-repository bileşenlerindeki 'javax.**' içermeyen varyant), hashCode/equals/readObject metodları ağ G/Ç işlemi gerçekleştiren sınıflara, özellikle de java.net.URL ve java.net.InetAddress sınıflarına izin veren özyinelemeli bir 'java.**' glob yapısı kullanır. Bir saldırgan etkilenen bir Camel tüketicisine Java-serialize edilmiş bir yük iletebildiğinde, java.net.URL anahtarları içeren bir HashMap'in (veya öğeleri üzerinde hashCode çağıran herhangi bir koleksiyonun) deserialization işlemi, deserialization yan etkisi sırasında JVM'nin saldırgan tarafından sağlanan ana bilgisayara DNS sorguları göndermesine neden olur. Sınıf düzeyindeki filtre kontrolü geçer çünkü ortaya çıkan nesnenin sınıfı (HashMap) izinli listesindedir; DNS sorgusu, saldırganın kontrolündeki bir DNS sunucusunda gözlemlenebilir ve bu durum bant dışı bir yan kanal sağlar. Maruziyet, mapJmsMessage=true (varsayılan) olduğunda JmsBinding.extractBodyFromJms'in koşulsuz olarak ObjectMessage.getObject() fonksiyonunu çağırması nedeniyle camel-jms ailesinde en yüksektir. Etkilenen bileşenler: camel-jms, camel-sjms, camel-amqp, camel-mina, camel-netty, camel-netty-http, camel-vertx-http, camel-infinispan ve aggregation repository bileşenleri olan camel-leveldb, camel-cassandraql, camel-consul, camel-sql (JDBC aggregation repository). Bu sorun şu Apache Camel sürümlerini etkilemektedir: 4.14.0'dan 4.14.8 öncesine kadar, 4.15.0'dan 4.18.3 öncesine kadar, 4.19.0'dan 4.21.0 öncesine kadar. Kullanıcıların, mevcut olduğunda CAMEL-23372 düzeltmesini içeren bir sürüme yükseltmeleri önerilir: 4.21.x hattı için 4.21.0, 4.18.x hattı için 4.18.3 ve 4.14.x hattı için 4.14.8. Hemen yükseltme yapamayan dağıtımlar için, temel hafifletme yöntemi olarak bir JMS-sağlayıcı tarafı izinli listesi yapılandırmaları (Apache ActiveMQ Artemis 'deserializationAllowList' / 'deserializationDenyList', Apache ActiveMQ Classic 'org.apache.activemq.SERIALIZABLE_PACKAGES') ve/veya uç nokta düzeyindeki 'deserializationFilter' seçeneği veya JVM genelindeki '-Djdk.serialFilter' sistem özelliği aracılığıyla kod içi varsayılan değeri açık bir engelleme ile geçersiz kılmaları önerilir: '!java.net.**;java.**;javax.**;org.apache.camel.**;!*' (veya javax.** içermeyen aggregation-repository bileşenleri için '!java.net.**;java.**;org.apache.camel.**;!*').