CVE-2026-40859

إصدارات Apache Camel من 4.0.0 إلى 4.14.7

إصدارات Apache Camel من 4.15.0 إلى 4.18.2

إصدارات Apache Camel من 4.19.0 إلى 4.19.9

يقوم مكون camel-vertx-http بإلغاء تسلسل نصوص استجابات HTTP ذات نوع المحتوى application/x-java-serialized-object باستخدام java.io.ObjectInputStream الخام دون وجود ObjectInputFilter في الدالة deserializeJavaObjectFromStream(). يحدث هذا عندما يتم تكوين نقطة نهاية المنتج بقيمة transferException=true (أو allowJavaSerializedObject=true) ويتم تعيين throwExceptionOnFailure على true. في هذه الظروف، يتم فك تسلسل استجابة HTTP من الخلفية ذات الحالة 5xx ونوع المحتوى المحدد دون قيود على الفئات. يمكن للمهاجم الذي يتحكم في الخلفية أو الذي ينفذ هجوم «الرجل في الوسط» (man-in-the-middle) على اتصال HTTP غير مشفر إرسال كائن Java مُسلسل مُصمم خصيصًا لتحقيق تنفيذ التعليمات البرمجية عن بُعد على المضيف، شريطة وجود سلسلة أدوات مناسبة في مسار الفئات (classpath).

قم بالترقية إلى الإصدار 4.14.8 لمن يستخدمون سلسلة الإصدارات 4.14.x LTS.

قم بالترقية إلى الإصدار 4.18.3 لمن يستخدمون سلسلة الإصدارات 4.18.x.

قم بالترقية إلى الإصدار 4.20.0.

لا تقم بتمكين transferException=true أو allowJavaSerializedObject=true على المنتجين الذين يتواصلون مع خوادم خلفية غير موثوق بها أو يمكن الوصول إليها عبر الشبكة.

تأكد من أن اتصالات المنتجين تستخدم TLS (https) لمنع استبدال الاستجابة من قبل طرف ثالث (man-in-the-middle).

قم بتعيين قائمة السماح الصريحة -Djdk.serialFilter لتقييد عملية إلغاء التسلسل