JVNDB-2026-023132

Apache Software FoundationのApache Camelにおける信頼できないデータのデシリアライゼーションに関する脆弱性

Apache Camel PQCコンポーネントにおける信頼されていないデータの逆シリアライズ脆弱性について説明します。camel-pqcコンポーネントは、プラガブルなKeyLifecycleManager実装を通じてポスト量子鍵メタデータ（KeyMetadata）を永続化します。HashicorpVaultKeyLifecycleManagerおよびAwsSecretsManagerKeyLifecycleManagerは、構成されたシークレットバックエンドからメタデータをBase64でラップされた値として読み戻しますが、その際にjava.io.ObjectInputStream.readObject()を生のまま使用し、ObjectInputFilterやクラス許可リストを設定していません。KeyMetadataへのキャストはreadObject()の戻り後に行われるため、細工されたオブジェクト内のreadObject()実行中の副作用は型チェックより先に発生します。同様の制御されていない古いマイグレーションの読み込みはFileBasedKeyLifecycleManager（保存されているKeyPairおよびKeyMetadataのため）にも残っています。これらの値を保持するオペレーター管理のバックエンド（HashiCorp VaultのKVパスやAWS Secrets Managerのシークレット）に書き込み権限を持つ主体は、細工されたシリアライズ済オブジェクトを保存でき、通常の鍵ライフサイクル操作中にそのオブジェクトが逆シリアライズされて、鍵管理を行うアプリケーションのコンテキストでコード実行に至る可能性があります。本問題はCVE-2026-40048（CAMEL-23200）に対する不完全な修正の続きであり、FileBasedKeyLifecycleManagerをJSON / PKCS#8 / X.509フォーマットでメタデータを保存するように変更しましたが、ObjectInputFilterの追加は行わず、VaultおよびAWSの関連マネージャーをカバーしておらず、FileBasedKeyLifecycleManager自身の古いマイグレーション逆シリアライズは未だに制御されていません。本件はApache Camelのバージョン4.18.0から4.18.3未満、および4.19.0から4.21.0未満に影響します。ユーザーには問題を修正したバージョン4.21.0へのアップグレードを推奨します。4.18.xのLTSリリースを使用している場合は4.18.3へのアップグレードが推奨されます。即時アップグレードが困難な環境では、鍵バックエンドへの書き込みアクセスを制限し、アプリケーション自身のIDだけがcamel-pqcシークレットを書き込めるように最小権限のHashiCorp Vaultポリシーおよびsecretsmanager:PutSecretValue IAM権限を設定し、PQC鍵マテリアルを信頼度の低い主体が書き込めるデータと分離されたバックエンドに保持することが推奨されます。

Apache Software Foundation

• Apache Camel 4.18.0 以上 4.18.3 未満
• Apache Camel 4.19.0 以上 4.21.0 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

・当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
・当該ソフトウェアが扱う全ての情報が書き換えられる可能性があります。
・当該ソフトウェアが完全に停止する可能性があります。

ベンダ情報を参照して適切な対策を実施してください。

Apache Software Foundation

• Apache Camel : Apache Camel Security Advisory - CVE-2026-46590 - Apache Camel

1. 信頼できないデータのデシリアライゼーション(CWE-502) [その他]

1. CVE-2026-46590

1. National Vulnerability Database (NVD) : CVE-2026-46590

• [2026年07月10日]
    掲載