CVE-2026-78162

Nome do Software Vulnerável e Versões Afetadas Apache Camel versões 4.0.0 até 4.18.4 Apache Camel versões 4.19.0 até 4.22.0

Description O componente camel-hazelcast não aplica um JavaSerializationFilterConfig às instâncias do Hazelcast criadas através de caminhos de configuração específicos. Isso ocorre quando o ReplicatedHazelcastAggregationRepository sobrescreve a função doStart() sem chamar o método super, e quando o HazelcastDefaultComponent#getOrCreateHzClientInstance() constrói um ClientConfig enquanto o hazelcastMode está definido como client sem um ClientConfig referenciado ou hazelcastConfigUri. Consequentemente, a desserialização Java permanece irrestrita. Um invasor capaz de publicar dados no cluster Hazelcast conectado pode disparar a desserialização de um objeto Java manipulado na camada de serialização, resultando em execução remota de código. Este risco é ampliado pois os clusters Hazelcast não habilitam autenticação ou TLS por padrão.

Recommendations Atualize para a versão 4.18.5 para o fluxo de versões 4.18.x. Atualize para a versão 4.22.1 para o fluxo de versões 4.22.x. Atualize para a versão 4.23.0. Forneça uma configuração explícita do Hazelcast contendo um JavaSerializationFilterConfig ou injete um HazelcastInstance pré-construído. Defina o filtro global da JVM -Djdk.serialFilter=!java.net.;java.;javax.;org.apache.camel.;!*. Habilite a autenticação do cluster Hazelcast e o TLS.