CVE-2026-78165

اسم البرنامج المتأثر والإصدارات المتأثرة Apache Camel الإصدارات من 2.11.0 إلى 4.18.4 Apache Camel الإصدارات من 4.19.0 إلى 4.22.0

الوصف توجد مشكلة في مكون Spring Redis الخاص بـ Apache Camel حيث يتم إلغاء تسلسل البيانات غير الموثوقة. يقوم تابع RedisConfiguration.getSerializer بإنشاء JdkSerializationRedisSerializer افتراضيًا عندما لا يتم تكوين أي مسلسِل. يستخدم هذا التنفيذ ConfigurableObjectInputStream بدون java.io.ObjectInputFilter ، مما يسمح بتجسيد مخطط فئات مسلسَل تعسفي وتنفيذ تابع readObject() الخاص به. يقوم تابع RedisConsumer.setBody بتطبيق هذا المسلسِل على البايتات الخام للرسائل المنشورة في القنوات المشترك بها، مما يمكن المهاجم من الوصول إلى مصرف إلغاء التسلسل عبر أمر PUBLISH. بالإضافة إلى ذلك، يستخدم RedisTemplate الذي تم إنشاؤه بواسطة RedisConfiguration.createDefaultTemplate و SpringRedisIdempotentRepository نفس المسلسِل الافتراضي، مما يؤثر على أوامر القراءة للمنتج مثل GET و HGET و HGETALL و HVALS. لا يؤدي تكوين redisTemplate مخصص إلى معالجة مسار المستهلك لأن RedisConsumer.setBody يصل إلى getSerializer مباشرة.

التوصيات التحديث إلى الإصدار 4.23.0. التحديث إلى الإصدار 4.22.1 للمستخدمين على إصدارات 4.22.x. التحديث إلى الإصدار 4.18.5 للمستخدمين على إصدارات 4.18.x. بالنسبة للإصدارات 4.14.x وما قبلها، يجب الانتقال إلى إصدار مدعوم. ضبط خاصية نظام jdk.serialFilter على مستوى JVM لتقييد إلغاء التسلسل. ضبط خيار نقطة نهاية المسلسِل لاستخدام مسلسِل لا يعتمد على تسلسل Java، مثل StringRedisSerializer. فرض المصادقة على مثيل Redis وتقييد العملاء الذين يمكنهم النشر في القنوات المشترك بها. تجنب تعريض مثيل Redis الذي يستهلكه Camel للشبكات غير الموثوقة.