Apache Camel camel-hazelcast: Unsichere Java-Deserialisierung nach unvollständiger Korrektur

Zusammenfassung

Eine unvollständige Korrektur von CVE-2026-43865 lässt zwei Konfigurationspfade der Komponente camel-hazelcast ohne Java-Deserialisierungsfilter. Betroffen sind ReplicatedHazelcastAggregationRepository, das ohne bereitgestellte hazelcastInstance gestartet wird, sowie Endpunkte mit hazelcastMode=client ohne bereitgestellte ClientConfig oder hazelcastConfigUri. Ein Angreifer, der Daten in den betroffenen Hazelcast-Cluster einspeisen kann, kann ein serialisiertes Java-Objekt einschleusen, das deserialisiert wird, bevor Camel den Exchange verarbeitet. Dies kann zur Remote Code Execution führen. Hazelcast-Cluster haben standardmässig weder Authentifizierung noch TLS aktiviert.

Betroffen

• Apache Camel ab 4.0.0 vor 4.18.5
• Apache Camel ab 4.19.0 vor 4.22.1
• Frühere Versionen ab 4.0.0, einschliesslich 4.14.x, sind betroffen, aber End of Life und erhalten keine Korrektur.
• Installationen, die für CVE-2026-43865 nur auf 4.14.8, 4.18.3 oder 4.21.0 aktualisiert wurden, bleiben verwundbar.

Behoben in

• 4.23.0
• 4.22.1 (Release-Linie 4.22.x)
• 4.18.5 (Release-Linie 4.18.x)

Umgehung

• Eine explizite Hazelcast-Konfiguration mit JavaSerializationFilterConfig angeben oder eine vorgefertigte HazelcastInstance injizieren. Camel überschreibt benutzerdefinierte Konfigurationen nicht.
• Den JVM-weiten Filter -Djdk.serialFilter=!java.net.;java.;javax.;org.apache.camel.;!* setzen und Hazelcast-Cluster-Authentifizierung sowie TLS aktivieren. Die Filtersyntax vor dem Einsatz mit der Herstellerwarnung abgleichen.

Ausnutzung

• CISA SSVC: Ausnutzungsstatus 'poc', automatisierbar: ja, technische Auswirkung: total.
• Auf GitHub existiert ein öffentliches Proof-of-Concept-Repository. Dessen Inhalt wurde nicht geprüft.
• Keine Ausnutzung in freier Wildbahn gemeldet.
• Apache stuft die Schwachstelle als Medium ein; der CVE-Eintrag und VulDB stufen sie als kritisch ein (CVSS 10.0 v4.0, NVD-Analyse ausstehend).

Unsere Empfehlung

• Alle Camel-Anwendungen mit camel-hazelcast inventarisieren, insbesondere ReplicatedHazelcastAggregationRepository und hazelcastMode=client.
• Auf 4.23.0 aktualisieren, je nach Release-Linie alternativ auf 4.22.1 oder 4.18.5. Sich nicht allein auf die Korrektur von CVE-2026-43865 verlassen.
• Bis zur Aktualisierung den Netzwerkzugriff auf die Hazelcast-Ports einschränken und Cluster-Authentifizierung sowie TLS aktivieren.
• Die Migration weg von Camel 4.14.x oder älteren Versionen planen, da diese End of Life sind.
• Das Risiko als hoch einstufen, wenn Hazelcast-Verkehr aus nicht vertrauenswürdigen Netzen erreichbar ist.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

Links zu fremden Seiten, von uns nicht geprüft – Exploit-Code kann Schadsoftware enthalten. Nur in isolierten Testumgebungen verwenden.

• Proof of Concept auf GitHub (1 Repositories) iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).
  oscerd/CVE-2026-78162

Quellen der Recherche

• Apache Camel Security Advisory CVE-2026-78162 camel.apache.org
• Apache Camel Security Advisory CVE-2026-43865 camel.apache.org
• Apache Camel security advisories 4.23.0 (blog) camel.apache.org
• Fix pull request 25566 (ReplicatedHazelcastAggregationRepository) github.com
• Fix pull request 25595 (hazelcastMode=client ClientConfig) github.com
• Backport pull request 25599 (camel-4.22.x) github.com
• Backport pull request 25600 (camel-4.18.x) github.com
• JIRA CAMEL-24413 issues.apache.org

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 14:12.