🟠 CVE-2026-46590: High Schwachstelle

„`html

Zusammenfassung

CVE-2026-46590 beschreibt eine kritische Deserialisierungsschwachstelle in der Apache Camel PQC-Komponente. Die betroffenen KeyLifecycleManager-Implementierungen (HashicorpVaultKeyLifecycleManager, AwsSecretsManagerKeyLifecycleManager und FileBasedKeyLifecycleManager) deserialisieren untrusted Post-Quantum-Schlüsselmetadaten ohne Validierungsmechanismen. Dies ermöglicht Remote Code Execution (RCE) in der Anwendung, die die Schlüsselverwaltung durchführt.

Betroffene Systeme

• Apache Camel 4.18.0 bis 4.18.2
• Apache Camel 4.19.0 bis 4.20.x
• Alle Systeme mit camel-pqc-Komponente unter diesen Versionen

Technische Details

Die Schwachstelle basiert auf unsicherer Deserialisierung von Base64-kodierten Objektmetadaten. Die verwendete java.io.ObjectInputStream.readObject()-Methode wird ohne ObjectInputFilter oder Class-Allowlist aufgerufen. Kritisch ist, dass Seiteneffekte aus der Deserialisierung vor der Typprüfung ausgeführt werden. Ein Angreifer mit Schreibzugriff auf das Backend (HashiCorp Vault KV-Pfad oder AWS Secrets Manager) kann manipulierte Objekte einspeisen, die während normaler Schlüsselverwaltungsoperationen ausgeführt werden. Dies ist eine Folgevulnerabilität zu CVE-2026-40048, da die vorherige Remediation unvollständig war.

Empfohlene Massnahmen

• Sofortiges Update: Upgrade auf Camel 4.21.0 oder 4.18.3 (LTS)
• Temporäre Abschwächung: Schreibzugriff auf Backend-Secrets auf Anwendungsidentität beschränken (Least-Privilege Vault-Policies, IAM-Rechte limitieren)
• Architektur-Härtung: PQC-Schlüsselmaterial in separatem Backend von untrusted Datenquellen lagern
• Monitoring: Deserialisierungsfehler und unerwartete Prozessausführungen überwachen

Bewertung

CVSS-Score: 8.8 (High)

Schweregrad: High – Remote Code Execution mit entsprechenden Privilegien möglich. Erfordert jedoch Schreibzugriff auf das Backend, weshalb der Angriffsvektor auf vertrauenswürdige Administratoren oder kompromittierte Systeme begrenzt ist.

„`