Apache Camel Spring Redis: Unfiltrierte Java-Deserialisierung von Redis-Nutzdaten

Zusammenfassung

Die Spring-Redis-Komponente von Apache Camel verwendet den standardmässigen JDK-Serialisierer ohne ObjectInputFilter und deserialisiert Redis-Nutzdaten daher ohne Einschränkung. Ein Angreifer, der auf einen von Camel abonnierten Kanal publizieren kann, kann die Deserialisierung eines präparierten Objekts auslösen und Code auf dem Camel-Host ausführen (CVSS 8.8, CWE-502). Derselbe Standardserialisierer betrifft auch Producer-Lesebefehle (GET, HGET, HGETALL, HVALS) und das Redis-Idempotent-Repository, und ein benutzerdefiniertes redisTemplate schützt den Consumer-Pfad nicht.

Betroffen

• Apache Camel ab 2.11.0 vor 4.18.5
• Apache Camel ab 4.19.0 vor 4.22.1
• Standardmässig betroffen sind nur Deployments, bei denen die Option serializer nicht auf einen nicht-Java-Serialisierer gesetzt ist.

Behoben in

• Apache Camel 4.23.0
• Apache Camel 4.22.1 (Release-Linie 4.22.x)
• Apache Camel 4.18.5 (Release-Linie 4.18.x)
• Releases 4.14.x und älter sind End of Life und erhalten keinen Fix.

Umgehung

• Die JVM-weite Systemeigenschaft jdk.serialFilter setzen, zum Beispiel -Djdk.serialFilter=!java.net.**;java.**;javax.**;org.apache.camel.**;!*
• Oder die Endpoint-Option serializer auf einen nicht-Java-Serialisierer wie StringRedisSerializer setzen. Dies muss als Option serializer erfolgen, nicht nur im benutzerdefinierten redisTemplate.
• Authentifizierung auf der Redis-Instanz verlangen und einschränken, welche Clients auf abonnierte Kanäle publizieren dürfen.
• Von Camel genutzte Redis-Instanzen nicht in unvertrauenswürdige Netzwerke exponieren.

Ausnutzung

• CISA SSVC: Exploitation-Status 'poc' (Proof of Concept verfügbar), nicht automatisierbar, totale technische Auswirkung.
• Eine aktive Ausnutzung ist nicht bekannt.

Unsere Empfehlung

• Apache Camel auf 4.23.0 aktualisieren, bzw. auf 4.22.1 oder 4.18.5 auf den jeweiligen Release-Linien.
• Deployments auf 4.14.x oder älter auf einen unterstützten Release migrieren.
• Falls ein sofortiges Update nicht möglich ist, die Workarounds jdk.serialFilter oder serializer anwenden.
• Prüfen, ob Camel-Spring-Redis-Endpoints Kanäle konsumieren, auf die unvertrauenswürdige Parteien publizieren können.
• Zugriffskontrollen der Redis-Instanz prüfen und auf unerwartete PUBLISH-Aktivitäten sowie Java-Deserialisierungsfehler achten.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

Links zu fremden Seiten, von uns nicht geprüft – Exploit-Code kann Schadsoftware enthalten. Nur in isolierten Testumgebungen verwenden.

• Proof of Concept auf GitHub (1 Repositories) iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).
  oscerd/CVE-2026-78165

Quellen der Recherche

• Apache Camel security advisory CVE-2026-78165 camel.apache.org
• CAMEL-24421 Jira ticket issues.apache.org
• Fix for main (PR 25587) github.com
• Backport for 4.22.x (PR 25588) github.com
• Backport for 4.18.x (PR 25589) github.com
• Upgrade-guide documentation (PR 25734) github.com
• Apache Camel security advisories 4.23.0 blog camel.apache.org
• OpenCVE entry CVE-2026-78165 app.opencve.io

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 15:52.