Apache Camel camel-jgroups: Unsichere Java-Deserialisierung im JGroups-Consumer

Zusammenfassung

Der JGroups-Consumer von camel-jgroups deserialisiert eingehende Cluster-Nachrichten standardmässig mit Java-Serialisierung ohne Filter. Ein Angreifer im benachbarten Netzwerk, der die UDP-Multicast-Gruppe oder den Bind-Port des Clusters ohne Zugangsdaten erreicht, kann ein präpariertes serialisiertes Objekt senden. Falls auf dem Classpath eine nutzbare Gadget-Kette vorhanden ist, kann dies zu Remote Code Execution im Camel-Prozess führen. Der CVSS-Basiswert beträgt 8.8 (hoch), eine Ausnutzung ist nicht bestätigt.

Betroffen

• Apache Camel ab 4.0.0 vor 4.18.5
• Apache Camel ab 4.19.0 vor 4.22.1
• Release-Linien 4.14.x und älter, 4.15.x bis 4.17.x und 4.19.x bis 4.21.x sind End of Life und erhalten keinen Fix

Behoben in

• 4.23.0 (empfohlen)
• 4.22.1 für den Stream 4.22.x
• 4.18.5 für den Stream 4.18.x

Umgehung

• Einen JVM-weiten Serialisierungsfilter über die Systemeigenschaft jdk.serialFilter auf der JVM des jgroups-Consumers setzen, der nur die Klassen erlaubt, die die Routen über den Cluster austauschen
• Den Kanal über die Option channelProperties mit dem Protokoll AUTH plus SYM_ENCRYPT oder ASYM_ENCRYPT absichern
• Die UDP-Multicast-Gruppe und den Bind-Port des Clusters nicht gegenüber nicht vertrauenswürdigen Netzwerken exponieren

Ausnutzung

• Keine Hinweise auf Ausnutzung in freier Wildbahn gefunden; CISA SSVC bewertet die Ausnutzung mit none
• Kein öffentlicher Proof of Concept gefunden
• EPSS: Unbekannt

Unsere Empfehlung

• Prüfen, ob camel-jgroups auf dem Classpath liegt und ob der jgroups-Consumer genutzt wird
• Auf 4.23.0 aktualisieren, bzw. auf 4.22.1 oder 4.18.5 auf diesen Streams
• Auf 4.22.1 und 4.18.5 zusätzlich einen JVM-weiten Serialisierungsfilter oder einen gesicherten Kanal konfigurieren, idealerweise beides
• Auf 4.23.0 startet der Consumer erst, wenn eine dieser Kontrollen konfiguriert ist; die Konfiguration vor dem Upgrade planen
• Deployments auf End-of-Life-Release-Linien auf eine unterstützte Version migrieren
• Zugriff auf die Multicast- und Bind-Ports des Clusters auf vertrauenswürdige Hosts beschränken

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

Links zu fremden Seiten, von uns nicht geprüft – Exploit-Code kann Schadsoftware enthalten. Nur in isolierten Testumgebungen verwenden.

• Proof of Concept auf GitHub (1 Repositories) iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).
  oscerd/CVE-2026-88900

Quellen der Recherche

• Apache Camel Security Advisory CVE-2026-88900 camel.apache.org
• Apache Camel 4.23.0 release camel.apache.org
• CAMEL-24676 issues.apache.org
• CAMEL-25223 issues.apache.org
• Fix pull request 26267 github.com
• OSV entry CVE-2026-88900 osv.dev

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 15:51.