CVE-2026-88900

Apache Camel Camel-Jgroups bileşeninde Güvenilmeyen Verilerin Deserializasyonu zafiyeti bulunmaktadır. Bu sorun şu Apache Camel sürümlerini etkilemektedir: 4.0.0 ile 4.18.5 arası ve 4.19.0 ile 4.22.1 arası. CamelJGroupsReceiver tarafından, jgroups tüketicisinin aldığı her mesaj için exchange yönlendirilmeden önce çağrılan JGroupsEndpoint.createExchange(Message) fonksiyonu, exchange gövdesini org.jgroups.Message.getObject() üzerinden ayarlamaktadır. Camel jgroups üreticisinin gönderdiği mesaj türü olan ObjectMessage için JGroups, mesaj ulaştığında kendi alıcı iş parçacığı üzerinde bir ObjectInputStream aracılığıyla yükü Java-deserializes işlemiyle çözer ve getObject() sonucu oluşan nesneyi döndürür. Dağıtım kapsamında JVM genelinde bir serileştirme filtresi ayarlanmadığı sürece bu yolda herhangi bir java.io.ObjectInputFilter uygulanmamıştır: camel-jgroups hiçbir filtre kurmaz ve etkilenen sürümlerle birlikte gelen JGroups versiyonları da kendilerine ait bir filtre uygulamaz; bu nedenle uygulama classpath üzerindeki herhangi bir serileştirilebilir sınıf örneklenebilir ve bunun deserialization geri çağırmaları çalıştırılabilir. Bir kanal veya channelProperties seçeneği yapılandırılmadıkça, tüketici kanalını AUTH protokolü ve şifreleme olmaksızın UDP üzerinden çoklu yayın yapan standart JGroups protokol yığını olan new JChannel() ile oluşturur; böylece kümenin multicast grubuna veya bağlama portuna erişebilen herhangi bir ana bilgisayar, kimlik bilgileri olmadan kümeye katılabilir ve tüketiciye mesajlar gönderebilir. Böyle bir ana bilgisayar, classpath üzerinde kullanılabilir bir deserialization gadget zinciri mevcut olduğunda, Camel işleminde uzaktan kod çalıştırmaya yol açan özel olarak hazırlanmış serileştirilmiş bir nesne gönderebilir ve tüketici tarafında varsayılan dışı herhangi bir seçenek gerekmez. JGroups, nesneyi Camel'ın alıcısı çalışmadan önce somutlaştırdığından, Camel tarafından gerçekleştirilen bir kontrol yalnızca deserialized sonucunu inceleyebilir ve deserialization sırasında çalışan kodu durduramaz; bu nedenle sorunun çözümü, hafifletme önleminde açıklandığı gibi, yük okunmadan önce uygulanan bir kontrol gerektirir. İstismar edilmesi, kümenin multicast grubuna veya bağlama portuna ağ erişimi gerektirir ki bu durum varsayılan UDP multicast taşımasıyla komşu bir ağdaki bir ana bilgisayar anlamına gelir ve ayrıca classpath üzerinde kullanılabilir bir gadget zinciri gerektirir; bu nedenle önem derecesi kritik yerine yüksek olarak değerlendirilmiştir. Kullanıcıların sorunu gideren 4.23.0 sürümüne yükseltmeleri önerilir. Eğer kullanıcılar 4.22.x sürüm akışındaysa, 4.22.1 sürümüne yükseltmeleri önerilir. Kullanıcılar 4.18.x sürüm akışındaysa, 4.18.5 sürümüne yükseltmeleri önerilir. 4.14.x ve öncesi sürüm akışları ile 4.15.x - 4.17.x ve 4.19.x - 4.21.x sürüm hatları, bu sorun çözülmeden önce ömürlerini tamamladıkları (end of life) için düzeltme almayacaktır; dolayısıyla bu hatlardaki dağıtımlar desteklenen bir sürüme geçmelidir.