„`html
Zusammenfassung
CVE-2026-43865 beschreibt eine kritische Deserialisierungsschwachstelle in der Apache Camel Hazelcast-Komponente. Die Vulnerability ermöglicht Remote Code Execution (RCE) durch unsichere Deserialisierung von Java-Objekten in der Standard-Konfiguration. Betroffen sind mehrere Versionslinien des Apache Camel-Frameworks, wobei der Schweregrad mit CVSS 8.1 als hochkritisch eingestuft wird.
Betroffene Systeme
- Apache Camel 4.0.0 bis 4.14.7
- Apache Camel 4.15.0 bis 4.18.2
- Apache Camel 4.19.0 bis 4.20.x
Betroffen sind folgende Hazelcast-Komponenten: hazelcast-topic, hazelcast-queue, hazelcast-seda, hazelcast-map, hazelcast-multimap, hazelcast-replicatedmap, hazelcast-list und hazelcast-set. Ebenso sind HazelcastAggregationRepository und HazelcastIdempotentRepository vulnerabel.
Technische Details
Die Schwachstelle tritt auf, wenn die camel-hazelcast-Komponente Hazelcast-Instanzen mit Standardkonfiguration erstellt, ohne JavaSerializationFilterConfig oder ObjectInputFilter zu implementieren. Angreifer, die Zugriff auf den Hazelcast-Cluster haben, können manipulierte serialisierte Java-Objekte publishen. Diese werden unmittelbar in ObjectInputStream.readObject deserialisiert, bevor Camel die Daten verarbeitet.
Der Angriffsvektor erfordert Netzwerkzugriff auf den Hazelcast-Cluster. Die Exposure ist standardmäßig aktiv und benötigt keine zusätzliche Endpoint-Konfiguration.
Empfohlene Massnahmen
Sofortmassnahmen:
- Upgrade auf Camel 4.21.0 (Hauptversion), 4.14.8 (LTS) oder 4.18.3
- Implementierung einer Hazelcast JavaSerializationFilterConfig mit Whitelist: java.*, javax.* und org.apache.camel.* (Blacklist: java.net.*)
- JVM-Parameter setzen:
-Djdk.serialFilter=!java.net.**;java.**;javax.**;org.apache.camel.**;!* - Hazelcast Cluster-Authentifizierung und TLS aktivieren
- Netzwerkzugriff auf Hazelcast-Cluster beschränken
Bewertung
Mit CVSS 8.1 handelt es sich um eine hochkritische Vulnerability. Die Standardkonfiguration ist vulnerable, was eine breite Gefährdung zur Folge hat. Ein unmittelbares Patching oder die Implementierung von Mitigationsmassnahmen ist erforderlich.
„`