CVE-2026-40858 in Camel
Riassunto
di VulDB • 02/07/2026
Il componente camel-infinispan utilizza un repository di aggregazione remota basato su ProtoStream che deserializza i dati letti da una cache Infinispan remota tramite java.io.ObjectInputStream senza applicare alcun ObjectInputFilter. Un attaccante in grado di scrivere nella cache Infinispan utilizzata da un'applicazione Camel può iniettare un oggetto Java serializzato appositamente creato (crafted) che, quando viene letto durante operazioni normali del repository di aggregazione come get o recover, provoca l'esecuzione di codice arbitrario nel contesto dell'applicazione.
Questo problema interessa Apache Camel: dalle versioni 4.0.0 alla 4.14.6, dalla versione 4.15.0 alla 4.18.1 e dalla versione 4.19.0 alla 4.20.0.
Si consiglia agli utenti di eseguire l'aggiornamento alla versione 4.20.0, che risolve il problema. Se gli utenti utilizzano la serie LTS delle versioni 4.14.x, si suggerisce di aggiornare a 4.14.7. Se gli utenti utilizzano la serie delle versioni 4.18.x, si suggerisce di aggiornare a 4.18.2.
Il ticket JIRA: https://issues.apache.org/jira/browse/CAMEL-23322 fa riferimento ai vari commit che hanno risolto il problema e contiene ulteriori dettagli. Questo problema segue la stessa classe di vulnerabilità affrontata in precedenza nei CVE-2024-22369, CVE-2024-23114 e CVE-2026-25747.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.