CVE-2026-78165

Published: Ott 19, 2026 Last Modified: Ott 20, 2026

ExploitDB:

Other exploit source:

Google Dorks:

HIGH 8,8

Source: [email protected]

Attack Vector: network

Attack Complexity: low

Privileges Required: low

User Interaction: none

Scope: unchanged

Confidentiality: high

Integrity: high

Availability: high

Description

AI Translation Available

Deserialization of Untrusted Data vulnerability in Apache Camel Spring Redis component.

This issue affects Apache Camel: from 2.11.0 before 4.18.5, from 4.19.0 before 4.22.1.

RedisConfiguration.getSerializer lazily built a bare JdkSerializationRedisSerializer whenever no serializer option was configured, and that instance was used for every read the component performs. Spring's implementation delegates through DeserializingConverter to DefaultDeserializer, which reads the bytes with a ConfigurableObjectInputStream and installs no java.io.ObjectInputFilter on the stream, so an arbitrary serialized class graph was materialised and its readObject method executed. RedisConsumer.setBody applied that serializer to the raw bytes of every message published to the subscribed channels, before the Exchange was constructed and therefore before any route logic could inspect the message, so an actor able to issue PUBLISH on a subscribed channel reached the deserialization sink directly. The same default serializer backed the RedisTemplate built by RedisConfiguration.createDefaultTemplate, so the producer read commands GET, HGET, HGETALL and HVALS deserialized whatever was stored in the Redis keyspace, and SpringRedisIdempotentRepository shared that template. Configuring a custom redisTemplate did not close the consumer path, because RedisConsumer.setBody reads getSerializer directly rather than the serializer attached to the template, so a deployment that had wired a String serializer into its own template remained exposed on the consumer side unless it also set the serializer option. The component never constructed a java.io.ObjectInputStream itself, which is why earlier passes over the Camel codebase for unfiltered Java deserialization did not reach it. The behaviour dates back to the introduction of the component, first released in 2.11.0, and was unchanged until this fix.

Users are recommended to upgrade to version 4.23.0, which fixes the issue. If users are on the 4.22.x releases stream, then they are suggested to upgrade to 4.22.1. If users are on the 4.18.x releases stream, then they are suggested to upgrade to 4.18.5. The 4.14.x releases stream and earlier reached end of life before this issue was resolved and will not receive a fix, so deployments on those lines must move to a supported release. For deployments that cannot upgrade immediately, set the JVM-wide jdk.serialFilter system property, which the affected code path honours because it reads through a java.io.ObjectInputStream, for example -Djdk.serialFilter=!java.net.**;java.**;javax.**;org.apache.camel.**;!* ; or set the serializer endpoint option to a serializer that does not use Java serialization, such as StringRedisSerializer, noting that this must be set as the serializer option and not only on a custom redisTemplate. As defence in depth, require authentication on the Redis instance and restrict which clients may publish to the subscribed channels, and do not expose a Redis instance consumed by Camel to untrusted networks.

AI Generated Translation

Vulnerabilità di Deserializzazione di Dati Non Affidabili nel componente Apache Camel Spring Redis.

Questo problema riguarda Apache Camel: dalla versione 2.11.0 prima della 4.18.5, dalla 4.19.0 prima della 4.22.1.

RedisConfiguration.getSerializer costruisce in modo lazy un bare JdkSerializationRedisSerializer ogni volta che nessuna opzione serializer è configurata, e quell'istanza viene utilizzata per ogni lettura eseguita dal componente. L'implementazione di Spring delega tramite DeserializingConverter a DefaultDeserializer, che legge i byte con un ConfigurableObjectInputStream e non installa alcun java.io.ObjectInputFilter sul flusso, quindi viene materializzato un grafo di classi serializzate arbitrario e viene eseguito il metodo readObject. RedisConsumer.setBody applica quel serializer ai byte grezzi di ogni messaggio pubblicato sui canali sottoscritti, prima che l'Exchange venga costruito e quindi prima che qualsiasi logica di route possa ispezionare il messaggio, quindi un attore in grado di emettere PUBLISH su un canale sottoscritto raggiunge direttamente il sink di deserializzazione. Lo stesso serializer di default supportava RedisTemplate costruito da RedisConfiguration.createDefaultTemplate, quindi i comandi di produzione come GET, HGET, HGETALL e HVALS deserializzavano qualunque cosa fosse memorizzata nello spazio chiave Redis, e SpringRedisIdempotentRepository condivideva quel template. La configurazione di un redisTemplate personalizzato non chiudeva il percorso del consumer, perché RedisConsumer.setBody legge getSerializer direttamente piuttosto che il serializer associato al template, quindi una distribuzione che aveva collegato un serializer String nel proprio template rimaneva esposta sul lato consumer a meno che non fosse anche impostata l'opzione serializer. Il componente non costruiva mai un java.io.ObjectInputStream da solo, motivo per cui passaggi precedenti sul codice Camel per la deserializzazione Java non filtrata non lo raggiungevano. Il comportamento risale all'introduzione del componente, rilasciato per la prima volta in 2.11.0, e non è stato modificato fino a questa correzione.

Si raccomanda agli utenti di aggiornare alla versione 4.23.0, che risolve il problema. Se gli utenti utilizzano la serie di versioni 4.22.x, si consiglia di aggiornare a 4.22.1. Se gli utenti sono sulla serie 4.18.x, si suggerisce di aggiornare a 4.18.5. La serie 4.14.x e versioni precedenti hanno raggiunto la fine del ciclo di vita prima che questo problema fosse risolto e non riceveranno fix, pertanto le distribuzioni su queste versioni devono passare a una release supportata. Per le distribuzioni che non possono aggiornare immediatamente, impostare la proprietà di sistema JVM jdk.serialFilter, che il percorso di codice interessato rispetta leggendo tramite un java.io.ObjectInputStream, ad esempio -Djdk.serialFilter=!java.net.**;java.**;javax.**;org.apache.camel.**;!* ; oppure impostare l'opzione endpoint serializer su un serializer che non utilizza la serializzazione Java, come StringRedisSerializer, tenendo presente che questa deve essere impostata come opzione serializer e non solo sul redisTemplate personalizzato. Come misura di difesa in profondità, richiedere l'autenticazione sull'istanza Redis e limitare quali client possono pubblicare sui canali sottoscritti, e non esporre un'istanza Redis utilizzata da Camel a reti non affidabili.