„`html
Zusammenfassung
CVE-2026-42527 ist eine kritische Deserialisierungsschwachstelle in Apache Camel mit dem CVSS-Wert 8.1 (High). Die Anfälligkeit betrifft die Standard-ObjectInputFilter-Konfiguration mehrerer Camel-Komponenten. Ein Angreifer kann durch manipulierte Java-Serialisierungsdaten eine DNS-Exfiltration von Informationen erreichen und damit eine Out-of-Band-Seitenkanal-Attacke durchführen.
Betroffene Systeme
Folgende Apache Camel-Versionen sind anfällig:
- 4.14.0 bis vor 4.14.8
- 4.15.0 bis vor 4.18.3
- 4.19.0 bis vor 4.21.0
Betroffene Komponenten: camel-jms, camel-sjms, camel-amqp, camel-mina, camel-netty, camel-netty-http, camel-vertx-http, camel-infinispan sowie Aggregation-Repository-Komponenten (camel-leveldb, camel-cassandraql, camel-consul, camel-sql).
Technische Details
Die Standard-ObjectInputFilter-Pattern (‚java.**;javax.**;org.apache.camel.**;!*‘) enthalten ein rekursives Glob für Java-Klassen, das Klassen zulässt, deren hashCode/equals/readObject-Methoden Netzwerk-I/O durchführen. Insbesondere java.net.URL und java.net.InetAddress sind betroffen.
Wenn ein Angreifer eine manipulierte HashMap mit java.net.URL-Keys an einen anfälligen Camel-Consumer liefert, löst die Deserialisierung während hashCode-Aufrufen DNS-Queries aus. Die Klassenfilter-Prüfung schlägt fehl, da das resultierende Objekt (HashMap) auf der Allowlist steht. Die DNS-Queries sind auf einem attacker-kontrollierten DNS-Server beobachtbar – ein klassischer Out-of-Band-Seitenkanal. Die höchste Exposure besteht in camel-jms, da JmsBinding.extractBodyFromJms standardmäßig ObjectMessage.getObject() aufruft.
Empfohlene Massnahmen
Upgrade (bevorzugt): Auf sichere Versionen aktualisieren: 4.21.0, 4.18.3 oder 4.14.8 und neuere.
Mitigationen (bis Upgrade):
- JMS-Provider-seitige Allowlist konfigurieren (Apache ActiveMQ Artemis ‚deserializationAllowList‘)
- Endpoint-Level ‚deserializationFilter‘ setzen: ‚!java.net.**;java.**;javax.**;org.apache.camel.**;!*‘
- JVM-Parameter ‚-Djdk.serialFilter‘ mit explizitem Deny verwenden
Bewertung
CVSS: 8.1 (High) | Angriffsvektor: Network | Status: Patch verfügbar | Priorität: Sofortige Aktion erforderlich
„`