JVNDB-2026-013163

Apache Software FoundationのApache Camelにおける信頼できないデータのデシリアライゼーションに関する脆弱性

camel-minaコンポーネントのMinaConverter.toObjectInput(IoBuffer)型コンバーターは、IoBufferをjava.io.ObjectInputStreamでラップしますが、ObjectInputFilterやクラスロードの制限を適用しません。Camelルートがcamel-minaをTCPまたはUDPコンシューマとして使用し、ObjectInputへの変換を要求する場合（たとえばgetBody(ObjectInput.class)や@Body ObjectInput経由）、攻撃者が細工したシリアライズ済みJavaオブジェクトをネットワーク経由でMINAコンシューマポートに送信すると、readObject()の読み込み中にアプリケーションのコンテキストで任意のコードを実行される可能性があります。この問題はApache Camelのバージョン3.0.0から4.14.6未満、4.15.0から4.18.2未満、4.19.0から4.20.0未満に影響します。ユーザーはこの問題を修正したバージョン4.20.0にアップグレードすることを推奨します。4.14.x LTSリリースストリームを使用している場合は4.14.6にアップグレードすることが推奨され、4.18.xリリースストリームの場合は4.18.2にアップグレードすることが推奨されます。

Apache Software Foundation

• Apache Camel 3.0.0 以上 4.14.6 未満
• Apache Camel 4.15.0 以上 4.18.2 未満
• Apache Camel 4.19.0

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
また、当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
さらに、当該ソフトウェアが完全に停止する可能性があります。
そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

Apache Software Foundation

• Apache Camel : Apache Camel Security Advisory - CVE-2026-40473 - Apache Camel

Openwall

• Openwall mailing list archives : oss-security - CVE-2026-40473: Apache Camel: Camel-Mina: Unsafe Deserialization in MinaConverter.toObjectInput() via TCP/UDP

1. 信頼できないデータのデシリアライゼーション(CWE-502) [その他]

1. CVE-2026-40473

1. National Vulnerability Database (NVD) : CVE-2026-40473

• [2026年04月30日]
    掲載