PT-2026-55883
CVE-2026-42527
·
تاريخ النشر
2026-07-06
·
تاريخ التحديث
2026-07-13
الوصف من
CVSS 3.1
8.1
عاليةالمقاييسAV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Apache Camel من 4.14.0 إلى 4.14.7
إصدارات Apache Camel من 4.15.0 إلى 4.18.2
إصدارات Apache Camel من 4.19.0 إلى 4.20.9
الوصف
توجد مشكلة تتمثل في أن نمط ObjectInputFilter الافتراضي المستخدم لتصفية عملية إزالة التسلسل في عدة مكونات يسمح بالفئات التي تقوم بعمليات الإدخال/الإخراج الشبكية، مثل
java.net.URL وjava.net.InetAddress. يمكن للمهاجم إرسال حمولة مُسلسلة بلغة Java تحتوي على HashMap بمفاتيح java.net.URL إلى مستهلك متأثر. يؤدي هذا إلى قيام JVM بإصدار استعلامات DNS إلى مضيف يتحكم فيه المهاجم أثناء عملية إزالة التسلسل، مما يؤدي إلى إنشاء قناة جانبية خارج النطاق. ويكون الخطر أكبر في عائلة camel-jms لأن الدالة extractBodyFromJms() في JmsBinding تستدعي getObject() دون قيد أو شرط عندما يتم تعيين المتغير mapJmsMessage إلى true. تشمل المكونات المتأثرة camel-jms وcamel-sjms وcamel-amqp وcamel-mina وcamel-netty وcamel-netty-http وcamel-vertx-http وcamel-infinispan، ومكونات مستودعات التجميع camel-leveldb وcamel-cassandraql وcamel-consul وcamel-sql.التوصيات
قم بتحديث إصدارات Apache Camel من 4.14.0 إلى 4.14.7 إلى الإصدار 4.14.8.
قم بتحديث إصدارات Apache Camel من 4.15.0 إلى 4.18.2 إلى الإصدار 4.18.3.
قم بتحديث إصدارات Apache Camel من 4.19.0 إلى 4.20.9 إلى الإصدار 4.21.0.
قم بتكوين قائمة السماح من جانب مزود JMS باستخدام
deserializationAllowList أو deserializationDenyList في Apache ActiveMQ Artemقابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾