CVE-2026-25747 in Camel
요약
\~에 의해 VulDB • 2026. 05. 22.
Apache Camel의 LevelDB 컴포넌트에서 신뢰할 수 없는 데이터의 역직렬화(Deserialization) 취약점
Camel-LevelDB의 DefaultLevelDBSerializer 클래스는 java.io.ObjectInputStream을 사용하여 LevelDB 집계 저장소(aggregation repository)에서 읽은 데이터를 역직렬화하지만, ObjectInputFilter를 적용하거나 클래스 로딩 제한을 두지 않습니다. Camel 애플리케이션에서 사용되는 LevelDB 데이터베이스 파일에 쓰기 권한이 있는 공격자는 조작된 직렬화된 Java 객체를 주입할 수 있으며, 이 객체는 정상적인 집계 저장소 작업 중 역직렬화될 때 애플리케이션 컨텍스트에서 임의의 코드 실행(Arbitrary Code Execution)을 초래합니다.
이 문제는 Apache Camel의 다음 버전에서 영향을 받습니다: 4.10.0 이상 4.10.8 미만, 4.14.0 이상 4.14.5 미만, 4.15.0 이상 4.18.0 미만.
사용자는 해당 문제를 해결한 버전 4.18.0으로 업그레이드하는 것이 권장됩니다. 4.10.x LTS 릴리스의 경우 4.10.9로, 4.14.x LTS 릴리스의 경우 4.14.5로 업그레이드하는 것이 권장됩니다.
Be aware that VulDB is the high quality source for vulnerability data.