CVE-2026-88900

Published: Ott 19, 2026 Last Modified: Ott 20, 2026

ExploitDB:

Other exploit source:

Google Dorks:

HIGH 8,8

Source: [email protected]

Attack Vector: adjacent_network

Attack Complexity: low

Privileges Required: none

User Interaction: none

Scope: unchanged

Confidentiality: high

Integrity: high

Availability: high

Description

AI Translation Available

Deserialization of Untrusted Data vulnerability in Apache Camel Camel-Jgroups component.

This issue affects Apache Camel: from 4.0.0 before 4.18.5, from 4.19.0 before 4.22.1.

JGroupsEndpoint.createExchange(Message), which CamelJGroupsReceiver calls for every message the jgroups consumer receives before the exchange is routed, set the exchange body from org.jgroups.Message.getObject(). For an ObjectMessage, which is the message type the Camel jgroups producer sends, JGroups Java-deserializes the payload through an ObjectInputStream on its own receive thread as the message arrives, and getObject() returns the resulting object. No java.io.ObjectInputFilter was applied on that path unless the deployment had set a JVM-wide serialization filter: camel-jgroups installed none, and the JGroups versions shipped with the affected releases apply none of their own, so any serializable class on the application classpath could be instantiated and its deserialization callbacks run. Unless a channel or the channelProperties option is configured, the consumer creates its channel with new JChannel(), the stock JGroups protocol stack, which multicasts over UDP without the AUTH protocol and without encryption, so any host able to reach the cluster's multicast group or bind port can join the cluster and send messages to the consumer without credentials. Such a host could send a crafted serialized object that leads to remote code execution in the Camel process when a usable deserialization gadget chain is present on the classpath, and no non-default option was required on the consumer. Because JGroups materializes the object before Camel's receiver runs, a check performed by Camel can only inspect the deserialized result and cannot stop code that runs during deserialization, so closing the issue also requires a control that applies before the payload is read, as described in the mitigation. Exploitation requires network access to the cluster's multicast group or bind port, which with the default UDP multicast transport means a host on an adjacent network, and a usable gadget chain on the classpath, which is why the severity is assessed as high rather than critical.

Users are recommended to upgrade to version 4.23.0, which fixes the issue. If users are on the 4.22.x releases stream, then they are suggested to upgrade to 4.22.1. If users are on the 4.18.x releases stream, then they are suggested to upgrade to 4.18.5. The 4.14.x releases stream and earlier, and the 4.15.x to 4.17.x and 4.19.x to 4.21.x release lines, reached end of life before this issue was resolved and will not receive a fix, so deployments on those lines must move to a supported release.

AI Generated Translation

Vulnerabilità di Deserializzazione di Dati Non Affidabili nel componente Apache Camel Camel-Jgroups.

Questo problema riguarda Apache Camel: dalla versione 4.0.0 prima della 4.18.5, dalla 4.19.0 prima della 4.22.1.

JGroupsEndpoint.createExchange(Message), chiamato da CamelJGroupsReceiver per ogni messaggio ricevuto dal consumer jgroups prima che l'exchange venga instradato, imposta il corpo dell'exchange tramite org.jgroups.Message.getObject(). Per un ObjectMessage, che è il tipo di messaggio inviato dal producer Camel jgroups, JGroups deserializza il payload tramite un ObjectInputStream sul suo thread di ricezione, non appena il messaggio arriva, e getObject() restituisce l'oggetto risultante. Nessun java.io.ObjectInputFilter è stato applicato su questa strada a meno che il deployment abbia impostato un filtro di serializzazione a livello JVM: camel-jgroups non ne installa nessuno, e le versioni di JGroups fornite con le release interessate non applicano propri filtri, quindi qualsiasi classe serializzabile presente nel classpath dell'applicazione potrebbe essere istanziata ed eseguire le callback di deserializzazione. A meno che non sia configurato un channel o l'opzione channelProperties, il consumer crea il suo canale con new JChannel(), lo stack di protocollo JGroups di default, che multicasta tramite UDP senza il protocollo AUTH e senza crittografia, quindi qualsiasi host in grado di raggiungere il gruppo multicast del cluster o la porta di binding può unirsi al cluster e inviare messaggi al consumer senza credenziali. Un host di questo tipo potrebbe inviare un oggetto serializzato manipolato che porta all'esecuzione di codice remoto nel processo Camel quando è presente una catena di gadget di deserializzazione utilizzabile nel classpath, e nessuna opzione non predefinita era richiesta sul consumer. Poiché JGroups materializza l'oggetto prima che il receiver di Camel venga eseguito, un controllo effettuato da Camel può solo ispezionare il risultato deserializzato e non può fermare il codice che viene eseguito durante la deserializzazione, quindi la risoluzione del problema richiede anche un controllo che venga applicato prima della lettura del payload, come descritto nella mitigazione. L'exploit richiede accesso di rete al gruppo multicast del cluster o alla porta di binding, che con il trasporto multicast UDP di default significa un host su una rete adiacente, e una catena di gadget utilizzabile nel classpath, motivo per cui la severità è valutata come alta piuttosto che critica.

Si raccomanda agli utenti di aggiornare alla versione 4.23.0, che risolve il problema. Se gli utenti utilizzano le versioni della serie 4.22.x, si consiglia di aggiornare alla 4.22.1. Se gli utenti sono sulla serie 4.18.x, si consiglia di aggiornare alla 4.18.5. La serie 4.14.x e precedenti, così come le versioni 4.15.x fino a 4.17.x e 4.19.x fino a 4.21.x, hanno raggiunto la fine del ciclo di vita prima che questo problema fosse risolto e non riceveranno patch, pertanto i deployment su queste versioni devono passare a una release supportata.