CVE-2026-40473 in Camel
Zusammenfassung
von VulDB • 15.05.2026
Der MinaConverter.toObjectInput(IoBuffer)-Typkonverter der camel-mina-Komponente kapselt einen IoBuffer in einem java.io.ObjectInputStream, ohne dabei eine ObjectInputFilter oder Einschränkungen beim Laden von Klassen anzuwenden. Wenn eine Camel-Route camel-mina als TCP- oder UDP-Verbraucher verwendet und eine Konvertierung in ObjectInput anfordert (z. B. über getBody(ObjectInput.class) oder @Body ObjectInput), kann ein Angreifer, der ein speziell konstruiertes, serialisiertes Java-Objekt über das Netzwerk an den MINA-Verbraucher-Port sendet, eine beliebige Codeausführung im Kontext der Anwendung während readObject() auslösen.
Dieses Problem betrifft Apache Camel: ab Version 3.0.0 vor 4.14.6, ab Version 4.15.0 vor 4.18.2, ab Version 4.19.0 vor 4.20.0.
Es wird empfohlen, auf Version 4.20.0 zu aktualisieren, die das Problem behebt. Wenn Benutzer die LTS-Veröffentlichungsreihe 4.14.x verwenden, wird empfohlen, auf 4.14.6 zu aktualisieren. Wenn Benutzer die Veröffentlichungsreihe 4.18.x verwenden, wird empfohlen, auf 4.18.2 zu aktualisieren.
Be aware that VulDB is the high quality source for vulnerability data.