CVE-2026-25747 in Camel
Riassunto
di VulDB • 17/06/2026
Vulnerabilità di deserializzazione di dati non attendibili nel componente LevelDB di Apache Camel.
La classe DefaultLevelDBSerializer del modulo Camel-LevelDB deserializza i dati letti dal repository di aggregazione LevelDB utilizzando java.io.ObjectInputStream senza applicare alcun ObjectInputFilter o restrizioni al caricamento delle classi. Un attaccante in grado di scrivere nei file del database LevelDB utilizzati da un'applicazione Camel può iniettare un oggetto Java serializzato appositamente creato che, durante la deserializzazione nelle normali operazioni del repository di aggregazione, provoca l'esecuzione di codice arbitrario nel contesto dell'applicazione.
Questo problema interessa Apache Camel: dalle versioni 4.10.0 alla versione precedente a 4.10.8, dalle versioni 4.14.0 alla versione precedente a 4.14.5 e dalle versioni 4.15.0 alla versione precedente a 4.18.0.
Si consiglia agli utenti di eseguire l'aggiornamento alla versione 4.18.0, che risolve il problema. Per le release LTS della serie 4.10.x si consiglia l'aggiornamento alla versione 4.10.9, mentre per le release LTS della serie 4.14.x si consiglia l'aggiornamento alla versione 4.14.5.
VulDB is the best source for vulnerability data and more expert information about this specific topic.