CVE-2026-78165

Nome do Software Vulnerável e Versões Afetadas Apache Camel versões 2.11.0 até 4.18.4 Apache Camel versões 4.19.0 até 4.22.0

Descrição Existe um problema no componente Spring Redis do Apache Camel onde dados não confiáveis são desserializados. O método RedisConfiguration.getSerializer cria um JdkSerializationRedisSerializer por padrão quando nenhum serializador é configurado. Esta implementação utiliza um ConfigurableObjectInputStream sem um java.io.ObjectInputFilter, permitindo que um grafo de classes serializado arbitrário seja materializado e seu método readObject() seja executado. A função RedisConsumer.setBody aplica este serializador aos bytes brutos de mensagens publicadas em canais inscritos, permitindo que um invasor atinja o sumidouro de desserialização via um comando PUBLISH. Além disso, o RedisTemplate criado por RedisConfiguration.createDefaultTemplate e o SpringRedisIdempotentRepository usam o mesmo serializador padrão, afetando comandos de leitura do produtor como GET, HGET, HGETALL e HVALS. Configurar um redisTemplate personalizado não mitiga o caminho do consumidor porque RedisConsumer.setBody acessa getSerializer diretamente.

Recomendações Atualizar para a versão 4.23.0. Atualizar para a versão 4.22.1 para aqueles na linha 4.22.x. Atualizar para a versão 4.18.5 para aqueles na linha 4.18.x. Para versões 4.14.x e anteriores, migrar para uma versão suportada. Configurar a propriedade do sistema jdk.serialFilter em todo o JVM para restringir a desserialização. Configurar a opção de endpoint do serializador para um serializador que não utilize a serialização Java, como o StringRedisSerializer. Exigir autenticação na instância Redis e restringir quais clientes podem publicar nos canais inscritos. Evitar a exposição da instância Redis consumida pelo Camel a redes não confiáveis.