Venkatraman Kumar

☕ Apache Camel critical alert: CVE-2026-43867 hits the camel-pqc component. Post-quantum key metadata deserialized via ObjectInputStream with zero ObjectInputFilter — unauthenticated RCE risk at CVSS 9.8. Check your Camel builds now. #AppSec #Apache https://t.co/iaMBNrOfI0 https://t.co/mkIJ19Sd5Y

**Nome do Software Vulnerável e Versões Afetadas** Apache Camel versões 4.14.0 até 4.14.7 Apache Camel versões 4.15.0 até 4.18.2 Apache Camel versões 4.19.0 até 4.20.9 **Description** Existe um problema onde o padrão ObjectInputFilter padrão usado para filtragem de desserialização em vários componentes permite classes que realizam E/S de rede, como `java.net.URL` e `java.net.InetAddress`. Um invasor pode enviar um payload serializado Java contendo um `HashMap` com chaves `java.net.URL` para um consumidor afetado. Isso faz com que a JVM emita consultas DNS para um host controlado pelo invasor durante a desserialização, criando um canal lateral out-of-band. O risco é mais significativo na família `camel-jms` porque a função `extractBodyFromJms()` em `JmsBinding` invoca `getObject()` incondicionalmente quando a variável `mapJmsMessage` está definida como true. Os componentes afetados incluem `camel-jms`, `camel-sjms`, `camel-amqp`, `camel-mina`, `camel-netty`, `camel-netty-http`, `camel-vertx-http`, `camel-infinispan` e os componentes de repositório de agregação `camel-leveldb`, `camel-cassandraql`, `camel-consul` e `camel-sql`. **Recommendations** Atualizar Apache Camel versões 4.14.0 até 4.14.7 para a versão 4.14.8. Atualizar Apache Camel versões 4.15.0 até 4.18.2 para a versão 4.18.3. Atualizar Apache Camel versões 4.19.0 até 4.20.9 para a versão 4.21.0. Configurar uma lista de permissões no lado do provedor JMS usando `deserializationAllowList` ou `deserializationDenyList` no Apache ActiveMQ Artemis, ou `org.apache.activemq.SERIALIZABLE PACKAGES` no Apache ActiveMQ Classic. Substituir o filtro padrão através da opção `deserializationFilter` no nível do endpoint ou da propriedade de sistema da JVM `-Djdk.serialFilter` usando o padrão `!java.net.**;java.**;javax.**;org.apache.camel.**;!*` (ou `!java.net.**;java.**;org.apache.camel.**;!*` para componentes de repositório de agregação).

**Nome do Software Vulnerável e Versões Afetadas** Apache Camel versões 4.0.0 até 4.14.7 Apache Camel versões 4.15.0 até 4.18.2 Apache Camel versões 4.19.0 até 4.19.9 **Description** O componente `camel-vertx-http` desserializa corpos de resposta HTTP com o Content-Type `application/x-java-serialized-object` usando um `java.io.ObjectInputStream` bruto sem um `ObjectInputFilter` na função `deserializeJavaObjectFromStream()`. Isso ocorre quando o endpoint do produtor é configurado com `transferException=true` (ou `allowJavaSerializedObject=true`) e `throwExceptionOnFailure` está definido como true. Nessas condições, uma resposta HTTP de backend com status 5xx e o tipo de conteúdo especificado é desserializada sem restrições de classe. Um invasor que controle o backend ou realize um ataque de man-in-the-middle em uma conexão HTTP não criptografada pode enviar um objeto Java serializado manipulado para alcançar a execução remota de código no host, desde que uma cadeia de gadgets adequada esteja presente no classpath. **Recommendations** Atualize para a versão 4.14.8 para aqueles no fluxo LTS 4.14.x. Atualize para a versão 4.18.3 para aqueles no fluxo 4.18.x. Atualize para a versão 4.20.0. Não habilite `transferException=true` ou `allowJavaSerializedObject=true` em produtores que se comunicam com backends não confiáveis ou acessíveis via rede. Garanta que as conexões do produtor usem TLS (https) para evitar a substituição de respostas por man-in-the-middle. Defina uma lista de permissões explícita `-Djdk.serialFilter` para restringir a desserialização.

**Nome do Software Vulnerável e Versões Afetadas** Apache CXF versões anteriores a 4.2.2 Apache CXF versões anteriores a 4.1.7 **Descrição** As classes `EndpointReferenceUtils` e `W3CMultiSchemaFactory` constroem um `SAXParserFactory` sem as configurações de endurecimento JAXP necessárias. Isso permite a resolução de entidades externas out-of-band (OOB), um processo no qual um analisador XML é enganado para acessar recursos externos por meio de entidades externas. **Recomendações** Atualize para a versão 4.2.2. Atualize para a versão 4.1.7.

**Nome do Software Vulnerável e Versões Afetadas** Apache Fory fory-core versões anteriores a 1.1.0 **Description** A desserialização de dados não confiáveis no caminho de substituição de resolução (replace-resolve) do Java em plataformas Java/JVM permite que um invasor remoto ignore as verificações de registro de classe, TypeChecker e DisallowedList. Ao utilizar dados serializados do Fory manipulados, um invasor pode invocar os hooks `readResolve()` e `readExternal()` presentes no classpath. **Recommendations** Atualize para a versão 1.1.0 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** Apache Camel versões 4.19.0 até 4.19.x Apache Camel versões 4.18.0 até 4.18.1 **Description** A classe `FileBasedKeyLifecycleManager` no Camel-PQC realiza a desserialização insegura de dados não confiáveis. Ela desserializa o conteúdo de arquivos `<keyId>.key` no diretório de chaves configurado usando `java.io.ObjectInputStream` sem aplicar um `ObjectInputFilter` ou restrições de carregamento de classe. Como a conversão para `java.security.KeyPair` ocorre apenas após a função `readObject()` ter retornado, quaisquer efeitos colaterais no objeto desserializado são executados antes da verificação de tipo. Um invasor capaz de escrever no diretório de chaves—através de traversal de caminho, permissões de sistema de arquivos mal configuradas, um pipeline de provisionamento de chaves comprometido ou um ataque de symlink—pode inserir um objeto Java serializado especialmente criado para alcançar a execução de código arbitrário no contexto da aplicação. **Recommendations** Atualize para a versão 4.20.0. Atualize para a versão 4.18.2.

**Nome do Software Vulnerável e Versões Afetadas** Apache MINA versões 2.0.0 até 2.0.27 Apache MINA versões 2.1.0 até 2.1.10 Apache MINA versões 2.2.0 até 2.2.5 **Description** Existe um problema na função `getObject()` da classe `AbstractIoBuffer` devido a um mecanismo de desserialização incompleto. A lista de permissões (allowlist) de nomes de classes, que restringe quais classes podem ser desserializadas, é aplicada tarde demais, permitindo potencialmente que um inicializador estático em uma classe seja executado antes que a verificação ocorra. Essa falha permite que um invasor remoto execute código arbitrário em aplicações que chamam a função `getObject()`. **Recommendations** Atualizar para a versão 2.0.28 para as versões 2.0.0 até 2.0.27. Atualizar para a versão 2.1.11 para as versões 2.1.0 até 2.1.10. Atualizar para a versão 2.2.6 para as versões 2.2.0 até 2.2.5. Como medida paliativa temporária, restrinja o uso da função `getObject()`.

**Nome do Software Vulnerável e Versões Afetadas** Apache MINA versões 2.0.0 a 2.0.27 Apache MINA versões 2.1.0 a 2.1.10 Apache MINA versões 2.2.0 a 2.2.5 **Description** Uma falha na função `resolveClass()` do `AbstractIoBuffer` permite ignorar a lista de permissões (allowlist) de nomes de classes para classes estáticas ou tipos primitivos. Isso ocorre porque um dos ramos de execução não valida a classe, permitindo a desserialização insegura quando as aplicações chamam `IoBuffer.getObject()`. Isso pode levar à execução remota de código. **Recommendations** Atualizar para a versão 2.0.28 para as versões 2.0.0 a 2.0.27. Atualizar para a versão 2.1.11 para as versões 2.1.0 a 2.1.10. Atualizar para a versão 2.2.6 para as versões 2.2.0 a 2.2.5.

**Nome do Software Vulnerável e Versões Afetadas** Apache Camel versões 3.0.0 até 4.14.6 Apache Camel versões 4.15.0 até 4.18.1 Apache Camel versões 4.19.0 até 4.19.x **Descrição** A função `extractBodyFromJms()` no `camel-jms` e a classe `JmsBinding` no `camel-sjms` desserializam a carga útil de valores JMS ObjectMessage recebidos via `javax.jms.ObjectMessage.getObject()` sem aplicar qualquer ObjectInputFilter, lista de permissões (allowlist) ou lista de bloqueios (denylist) de classes. Isso ocorre sempre que a opção `mapJmsMessage` está habilitada e o Camel atua como um consumidor JMS. Um invasor capaz de publicar um ObjectMessage manipulado em uma fila ou tópico consumido por uma aplicação Camel pode alcançar a execução remota de código quando uma cadeia de gadgets de desserialização estiver presente no classpath. O mesmo problema afeta transitivamente o `camel-sjms2`, `camel-amqp`, `camel-activemq` e `camel-activemq6`. **Recomendações** Atualize para a versão 4.14.7 para aqueles no fluxo de versões LTS 4.14.x. Atualize para a versão 4.18.2 para aqueles no fluxo de versões 4.18.x. Atualize para a versão 4.20.0 para todas as outras versões afetadas.

**Nome do Software Vulnerável e Versões Afetadas** Apache Camel versões 3.0.0 até 4.14.5 Apache Camel versões 4.15.0 até 4.18.1 Apache Camel versões 4.19.0 até 4.19.9 **Descrição** Uma falha no componente camel-mina permite que um invasor remoto execute código arbitrário ao enviar um objeto Java serializado especialmente manipulado através da rede para a porta do consumidor MINA. O conversor de tipo `MinaConverter.toObjectInput()`, utilizado quando uma rota Camel processa a entrada de rede, não aplica os filtros de segurança ou restrições de carregamento de classe necessários durante a desserialização de objetos. Isso ocorre quando o conversor envolve um `IoBuffer` em um `java.io.ObjectInputStream` sem um `ObjectInputFilter`, permitindo a execução de código malicioso no contexto da aplicação durante o processo `readObject()`. **Recomendações** Atualizar para a versão 4.14.6 para aqueles que utilizam o fluxo de versões LTS 4.14.x. Atualizar para a versão 4.18.2 para aqueles que utilizam o fluxo de versões 4.18.x. Atualizar para a versão 4.20.0 para todas as outras versões afetadas.