JVNDB-2026-013161

Apache Software FoundationのApache Camelにおける信頼できないデータのデシリアライゼーションに関する脆弱性

camel-jms の JmsBinding.extractBodyFromJms() および camel-sjms の同等の JmsBinding クラスは、javax.jms.ObjectMessage.getObject() を介して受信した JMS ObjectMessage のペイロードをデシリアライズする際に、ObjectInputFilter やクラスの許可リスト・拒否リストを適用していませんでした。このコードパスは mapJmsMessage オプションが有効（デフォルト設定）で Camel が JMS コンシューマとして動作する場合に常に到達します。そのため、悪意のある ObjectMessage を Camel アプリケーションが消費するキューやトピックに送信できる攻撃者は、クラスパスにデシリアライズガジェットチェーンが存在する場合、リモートコード実行を達成する可能性がありました。同様の処理は、camel-sjms2（Sjms2Endpoint が SjmsEndpoint を拡張）、camel-amqp（AMQPJmsBinding が JmsBinding を拡張）、および JmsComponent 上に構築された他の JMS ファミリーコンポーネント（camel-activemq、camel-activemq6）を通じても間接的に達成されました。この問題は Apache Camel のバージョン 3.0.0 から 4.14.7 より前、4.15.0 から 4.18.2 より前、4.19.0 から 4.20.0 より前に影響します。ユーザーはこの問題を修正したバージョン 4.20.0 へアップグレードすることを推奨します。4.14.x LTS リリースストリームを使用している場合は 4.14.7 へ、4.18.x リリースストリームを使用している場合は 4.18.2 へのアップグレードを推奨します。

Apache Software Foundation

• Apache Camel 3.0.0 以上 4.14.7 未満
• Apache Camel 4.15.0 以上 4.18.2 未満
• Apache Camel 4.19.0

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
また、当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
さらに、当該ソフトウェアが完全に停止する可能性があります。
そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

Apache Software Foundation

• Apache Camel : Apache Camel Security Advisory - CVE-2026-40860 - Apache Camel

Openwall

• Openwall mailing list archives : oss-security - CVE-2026-40860: Apache Camel: Unsafe Deserialization of JMS ObjectMessage in camel-jms, camel-sjms, camel-sjms2 and camel-amqp

1. 信頼できないデータのデシリアライゼーション(CWE-502) [その他]

1. CVE-2026-40860

1. National Vulnerability Database (NVD) : CVE-2026-40860

• [2026年04月30日]
    掲載