Venkatraman Kumar

يعاني مكون `UrlImageConverter` من ثغرة تزوير الطلبات عبر الخادم (SSRF) من خلال تجاوز حماية DNS rebinding. يحدث هذا عندما يقبل التطبيق رابط صورة يتحكم فيه المهاجم لكتابة الجداول البيانات؛ حيث يقوم المحول بالتحقق من عناوين IP التي تم تحليل اسم المضيف إليها، ثم يفتح اتصالاً منفصلاً قد يقوم بتحليل اسم المضيف مرة أخرى. يمكن للمهاجم الذي يتحكم في استجابات DNS توجيه الاتصال إلى عنوان مقيد بعد عملية التحقق الأولية.

يمكن للمستخدم العادي إنشاء رموز وصول إدارية عبر نقطة النهاية ’/access-tokens‘.

An unauthenticated REST disclosure allows the exposure of certain content items within the application.

يمكن للمستأجر المصادق عليه تنفيذ تزوير الطلب من جانب الخادم (SSRF) عن طريق تسجيل قالب يشير إلى ملف metalink ضار يحتوي على أهداف داخلية، مما يسمح لآلة افتراضية للتخزين الثانوي باسترداد هذه البيانات والاحتفاظ بها. بالإضافة إلى ذلك، يمكن للمستأجر الذي يتمتع بدور المستخدم الافتراضي تنفيذ التعليمات البرمجية عن بُعد (RCE) بصفته الجذر على مضيف برنامج KVM hypervisor. يحدث هذا عندما يقوم مستخدم بتسجيل قالب آلة افتراضية مع تعيين المتغير `directDownload` على القيمة «true» وعنوان URL يشير إلى ملف .metalink؛ حيث يقوم خادم الإدارة بجلب ملف XML وإرسال عملية التنزيل إلى وكيل KVM دون إعادة التحقق من صحة عناوين URL الداخلية مقابل قائمة المواقع المسموح بها.

☕ Apache Camel critical alert: CVE-2026-43867 hits the camel-pqc component. Post-quantum key metadata deserialized via ObjectInputStream with zero ObjectInputFilter — unauthenticated RCE risk at CVSS 9.8. Check your Camel builds now. #AppSec #Apache https://t.co/iaMBNrOfI0 https://t.co/mkIJ19Sd5Y

توجد مشكلة تتمثل في أن نمط ObjectInputFilter الافتراضي المستخدم لتصفية عملية إزالة التسلسل في عدة مكونات يسمح بالفئات التي تقوم بعمليات الإدخال/الإخراج الشبكية، مثل `java.net.URL` و`java.net.InetAddress`. يمكن للمهاجم إرسال حمولة مُسلسلة بلغة Java تحتوي على `HashMap` بمفاتيح `java.net.URL` إلى مستهلك متأثر. يؤدي هذا إلى قيام JVM بإصدار استعلامات DNS إلى مضيف يتحكم فيه المهاجم أثناء عملية إزالة التسلسل، مما يؤدي إلى إنشاء قناة جانبية خارج النطاق. ويكون الخطر أكبر في عائلة `camel-jms` لأن الدالة `extractBodyFromJms()` في `JmsBinding` تستدعي `getObject()` دون قيد أو شرط عندما يتم تعيين المتغير `mapJmsMessage` إلى true. تشمل المكونات المتأثرة `camel-jms` و`camel-sjms` و`camel-amqp` و`camel-mina` و`camel-netty` و`camel-netty-http` و`camel-vertx-http` و`camel-infinispan`، ومكونات مستودعات التجميع `camel-leveldb` و`camel-cassandraql` و`camel-consul` و`camel-sql`.

يقوم مكون `camel-vertx-http` بإلغاء تسلسل نصوص استجابات HTTP ذات نوع المحتوى `application/x-java-serialized-object` باستخدام `java.io.ObjectInputStream` الخام دون وجود `ObjectInputFilter` في الدالة `deserializeJavaObjectFromStream()`. يحدث هذا عندما يتم تكوين نقطة نهاية المنتج بقيمة `transferException=true` (أو `allowJavaSerializedObject=true`) ويتم تعيين `throwExceptionOnFailure` على true. في هذه الظروف، يتم فك تسلسل استجابة HTTP من الخلفية ذات الحالة 5xx ونوع المحتوى المحدد دون قيود على الفئات. يمكن للمهاجم الذي يتحكم في الخلفية أو الذي ينفذ هجوم «الرجل في الوسط» (man-in-the-middle) على اتصال HTTP غير مشفر إرسال كائن Java مُسلسل مُصمم خصيصًا لتحقيق تنفيذ التعليمات البرمجية عن بُعد على المضيف، شريطة وجود سلسلة أدوات مناسبة في مسار الفئات (classpath).

تقوم فئتا `EndpointReferenceUtils` و`W3CMultiSchemaFactory` بإنشاء `SAXParserFactory` دون تكوينات تقوية JAXP المطلوبة. وهذا يسمح بحل الكيانات الخارجية خارج النطاق (OOB)، وهي عملية يتم فيها خداع محلل XML للوصول إلى موارد خارجية عبر كيانات خارجية.

تسمح عملية إزالة التسلسل للبيانات غير الموثوق بها في مسار استبدال-حل Java على منصات Java/JVM لمهاجم عن بُعد بتجاوز عمليات فحص تسجيل الفئات وTypeChecker وDisallowedList. وباستخدام بيانات Fory مُسلسلة ومصممة خصيصًا، يمكن للمهاجم استدعاء ربطتي `readResolve()` و`readExternal()` الموجودتين في مسار الفئات.

تقوم فئة `FileBasedKeyLifecycleManager` في Camel-PQC بعملية إزالة التسلسل غير الآمنة للبيانات غير الموثوق بها. وهي تقوم بإلغاء تسلسل محتويات ملفات `<keyId>.key` الموجودة في دليل المفاتيح المُهيأ باستخدام `java.io.ObjectInputStream` دون تطبيق `ObjectInputFilter` أو قيود تحميل الفئات. ونظرًا لأن التحويل إلى `java.security.KeyPair` لا يحدث إلا بعد عودة الدالة `readObject()`، فإن أي آثار جانبية داخل الكائن الذي تم إلغاء تسلسله يتم تنفيذها قبل فحص النوع. يمكن للمهاجم القادر على الكتابة في دليل المفاتيح — عبر اجتياز المسار، أو أذونات نظام الملفات المُعدة بشكل خاطئ، أو مسار توفير المفاتيح المخترق، أو هجوم الارتباط الرمزي — وضع كائن Java مُسلسل مُصمم خصيصًا لتحقيق تنفيذ تعليمات برمجية تعسفية ضمن سياق التطبيق.

تقوم الدالة `extractBodyFromJms()` في `camel-jms` وفئة `JmsBinding` في `camel-sjms` بإلغاء تسلسل الحمولة لقيم JMS ObjectMessage الواردة عبر `javax.jms.ObjectMessage.getObject()` دون استخدام ObjectInputFilter أو قائمة السماح بالفئات أو قائمة حظر الفئات. يحدث هذا عندما يكون الخيار `mapJmsMessage` ممكّنًا ويعمل التطبيق كمستهلك JMS. يمكن للمهاجم نشر رسالة ObjectMessage مُصممة خصيصًا إلى قائمة انتظار أو موضوع لتحقيق تنفيذ التعليمات البرمجية عن بُعد في حالة وجود سلسلة أدوات إزالة التسلسل في مسار الفئات. تؤثر هذه المشكلة أيضًا على `camel-sjms2` و`camel-amqp` و`camel-activemq` و`camel-activemq6`.

يسمح خلل في الدالة `resolveClass()` في `AbstractIoBuffer` بتجاوز قائمة الأذونات (allowlist) لأسماء الفئات بالنسبة للفئات الثابتة أو الأنواع الأولية. ويحدث ذلك لأن أحد فروع التنفيذ لا يقوم بالتحقق من صحة الفئة، مما يسمح بإلغاء التسلسل غير الآمن عندما تستدعي التطبيقات `IoBuffer.getObject()`. وقد يؤدي ذلك إلى تنفيذ التعليمات البرمجية عن بُعد.

توجد مشكلة في دالة `getObject()` الخاصة بفئة `AbstractIoBuffer` بسبب آلية إزالة التسلسل غير المكتملة. يتم تطبيق قائمة السماح الخاصة بأسماء الفئات، والتي تحدد الفئات التي يمكن إزالة تسلسلها، في وقت متأخر جدًا، مما قد يسمح بتنفيذ مُهيئ ثابت في إحدى الفئات قبل إجراء الفحص. تتيح هذه الثغرة لمهاجم عن بُعد تنفيذ تعليمات برمجية عشوائية على التطبيقات التي تستدعي دالة `getObject()`.

يسمح عيب في مكون camel-mina لمهاجم عن بُعد بتنفيذ تعليمات برمجية تعسفية عن طريق إرسال كائن Java مُسلسل ومصمم خصيصًا عبر الشبكة إلى منفذ مستهلك MINA. يفشل محول النوع `MinaConverter.toObjectInput()`، الذي يُستخدم عندما تقوم مسار Camel بمعالجة مدخلات الشبكة، في تطبيق المرشحات الأمنية الضرورية أو قيود تحميل الفئات أثناء عملية إلغاء تسلسل الكائن. يحدث هذا عندما يقوم المحول بتغليف `IoBuffer` في `java.io.ObjectInputStream` بدون `ObjectInputFilter`، مما يتيح تنفيذ تعليمات برمجية ضارة ضمن سياق التطبيق أثناء عملية `readObject()`.