PT-2026-117327 · Hazelcast Technologies+1 · Hazelcast+1
CVSS v4.0
10
حرجة
| المتجه | AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X |
اسم البرنامج المصاب والإصدارات المتأثرة
Apache Camel الإصدارات من 4.0.0 إلى 4.18.4
Apache Camel الإصدارات من 4.19.0 إلى 4.22.0
Description
يفشل مكون
camel-hazelcast في تطبيق JavaSerializationFilterConfig على مثيلات Hazelcast التي يتم إنشاؤها من خلال مسارات تكوين محددة. يحدث هذا عندما يقوم ReplicatedHazelcastAggregationRepository بتجاوز دالة doStart() دون استدعاء الطريقة super، وعندما يقوم HazelcastDefaultComponent#getOrCreateHzClientInstance() ببناء ClientConfig بينما تم تعيين hazelcastMode على client بدون ClientConfig مرجعي أو hazelcastConfigUri. نتيجة لذلك، تظل عملية إلغاء تسلسل Java غير مقيدة. يمكن للمهاجم القادر على نشر بيانات في cluster Hazelcast المتصل أن يتسبب في إلغاء تسلسل كائن Java مصمم خصيصًا داخل طبقة التسلسل، مما يؤدي إلى تنفيذ رموز عن بُعد. تزداد هذه المخاطر لأن clusters Hazelcast لا تفعل المصادقة أو TLS افتراضيًا.Recommendations
التحديث إلى الإصدار 4.18.5 لمسار إصدارات 4.18.x.
التحديث إلى الإصدار 4.22.1 لمسار إصدارات 4.22.x.
التحديث إلى الإصدار 4.23.0.
توفير تكوين Hazelcast صريح يحتوي على
JavaSerializationFilterConfig أو حقن HazelcastInstance مبني مسبقًا.
تعيين مرشح JVM الشامل -Djdk.serialFilter=!java.net.;java.;javax.;org.apache.camel.;!*.
تفعيل مصادقة cluster Hazelcast وبروتوكول TLS.إصلاح
RCE
Deserialization of Untrusted Data
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾
تصنيف نقاط الضعف
المعرّفات ذات الصلة
المنتجات المتأثرة
Apache Camel
Hazelcast