„`html
Zusammenfassung
CVE-2026-40859 beschreibt eine kritische Deserialisierungsschwachstelle in der camel-vertx-http Komponente von Apache Camel. Die Komponente verarbeitet HTTP-Antworten mit dem Content-Type application/x-java-serialized-object mittels java.io.ObjectInputStream ohne Validierung durch ObjectInputFilter. Unter bestimmten Konfigurationen ermöglicht dies Remote Code Execution (RCE) durch manipulierte serialisierte Java-Objekte.
Betroffene Systeme
Apache Camel:
- Versionen 4.0.0 bis 4.14.7
- Versionen 4.15.0 bis 4.18.2
- Versionen 4.19.0 bis 4.19.x
Die Schwachstelle wird nur ausgelöst, wenn das Camel Producer Endpoint mit transferException=true oder allowJavaSerializedObject=true konfiguriert ist und throwExceptionOnFailure seinen Standardwert true aufweist.
Technische Details
Die VertxHttpHelper.deserializeJavaObjectFromStream-Methode deserialisiert HTTP-Response-Bodies ohne Klassenbeschränkungen. Ein Angreifer mit Man-in-the-Middle-Zugriff auf unverschlüsselte HTTP-Verbindungen oder durch Kompromittierung des Backend-Services kann eine speziell präparierte Java-Objektserialisierung zurückgeben. Mit einer passenden Gadget Chain in der Klassenpfad-Abhängigkeit führt dies zu Code-Ausführung im Kontext der Camel-Applikation.
Der Angriffsvektor setzt also voraus: unsichere HTTP-Kommunikation (kein TLS), aktivierte Exception-Transfer-Optionen und verfügbare Gadget Chains.
Empfohlene Massnahmen
Sofortmassnahmen:
- Deaktivieren Sie
transferException=trueundallowJavaSerializedObject=truebei Backend-Kommunikation mit externen oder netzwerk-zugänglichen Systemen - Erzwingen Sie TLS/HTTPS für alle Producer-Verbindungen
- Implementieren Sie einen JVM-weiten ObjectInputFilter:
-Djdk.serialFilter=java.**;org.apache.camel.**;!*
Upgrade-Pfade:
- Version 4.20.0 oder höher
- 4.14.x LTS: Upgrade auf 4.14.8
- 4.18.x: Upgrade auf 4.18.3
Bewertung
CVSS Score: 8.1 (High)
Schweregrad: High
Angriffsvektor: Netzwerk (erfordert spezifische Konfiguration)
Status: Patch verfügbar
„`