PT-2026-35369
CVE-2026-40048
·
تاريخ النشر
2026-04-27
·
تاريخ التحديث
2026-07-10
الوصف من
CVSS 3.1
7.8
عاليةالمقاييسAV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Apache Camel من 4.19.0 إلى 4.19.x
إصدارات Apache Camel من 4.18.0 إلى 4.18.1
الوصف
تقوم فئة
FileBasedKeyLifecycleManager في Camel-PQC بعملية إزالة التسلسل غير الآمنة للبيانات غير الموثوق بها. وهي تقوم بإلغاء تسلسل محتويات ملفات <keyId>.key الموجودة في دليل المفاتيح المُهيأ باستخدام java.io.ObjectInputStream دون تطبيق ObjectInputFilter أو قيود تحميل الفئات. ونظرًا لأن التحويل إلى java.security.KeyPair لا يحدث إلا بعد عودة الدالة readObject()، فإن أي آثار جانبية داخل الكائن الذي تم إلغاء تسلسله يتم تنفيذها قبل فحص النوع. يمكن للمهاجم القادر على الكتابة في دليل المفاتيح — عبر اجتياز المسار، أو أذونات نظام الملفات المُعدة بشكل خاطئ، أو مسار توفير المفاتيح المخترق، أو هجوم الارتباط الرمزي — وضع كائن Java مُسلسل مُصمم خصيصًا لتحقيق تنفيذ تعليمات برمجية تعسفية ضمن سياق التطبيق.التوصيات
الترقية إلى الإصدار 4.20.0.
الترقية إلى الإصدار 4.18.2.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾