‹ Volver al listado

CVE-2026-78165

Estado: En análisisAlta (8.8)—PoC
Gravedad8.8Alta · CVSS 3.1
Probabilidad de explotación0.77 %mayor que el 55 % de las CVE
Explotación activaNono figura en el catálogo de CISA
Exploit públicoDisponiblePrueba de concepto en GitHub (no verificada)

Vulnerabilidad de deserialización de datos no fiables en el componente Spring Redis de Apache Camel.

Este problema afecta a Apache Camel: desde la 2.11.0 hasta antes de la 4.18.5, y desde la 4.19.0 hasta antes de la 4.22.1.

RedisConfiguration.getSerializer creaba de forma perezosa una instancia básica de JdkSerializationRedisSerializer siempre que no se hubiera configurado la opción de serializador, y esa instancia se usaba en cada lectura que realizaba el componente.

Leer descripción completaMostrar menos

La implementación de Spring delega a través de DeserializingConverter en DefaultDeserializer, que lee los bytes con un ConfigurableObjectInputStream y no instala ningún java.io.ObjectInputFilter en el flujo, por lo que se materializaba un grafo de clases serializadas arbitrario y se ejecutaba su método readObject. RedisConsumer.setBody aplicaba ese serializador a los bytes sin procesar de cada mensaje publicado en los canales suscritos, antes de construir el Exchange y, por tanto, antes de que cualquier lógica de ruta pudiera inspeccionar el mensaje; de este modo, un actor capaz de emitir un PUBLISH en un canal suscrito llegaba directamente al punto de deserialización. El mismo serializador por defecto servía también a la RedisTemplate creada por RedisConfiguration.createDefaultTemplate, de modo que los comandos de lectura del productor GET, HGET, HGETALL y HVALS deserializaban cualquier dato almacenado en el espacio de claves de Redis, y SpringRedisIdempotentRepository compartía esa plantilla. Configurar una redisTemplate personalizada no cerraba la vía del consumidor, porque RedisConsumer.setBody lee getSerializer directamente y no el serializador asociado a la plantilla; así, una implementación que hubiera conectado un serializador de cadenas en su propia plantilla seguía expuesta en el lado del consumidor, salvo que también configurara la opción de serializador. El componente nunca construía por sí mismo un java.io.ObjectInputStream, por lo que las revisiones previas del código base de Camel en busca de deserialización Java sin filtrar no llegaron a detectarlo. El comportamiento se remonta a la introducción del componente, publicado por primera vez en la 2.11.0, y no cambió hasta esta corrección.

Se recomienda a los usuarios actualizar a la versión 4.23.0, que corrige el problema. Si utilizan la serie 4.22.x, se les sugiere actualizar a la 4.22.1. Si utilizan la serie 4.18.x, se les sugiere actualizar a la 4.18.5. Las series 4.14.x y anteriores llegaron al fin de su vida útil antes de que este problema se resolviera y no recibirán corrección, por lo que las implementaciones en esas versiones deben migrar a una versión soportada. Para las implementaciones que no puedan actualizarse de inmediato, configure la propiedad de sistema de la JVM jdk.serialFilter, que la ruta de código afectada respeta porque lee a través de un java.io.ObjectInputStream, por ejemplo -Djdk.serialFilter=!java.net.**;java.**;javax.**;org.apache.camel.**;!* ; o establezca la opción de endpoint serializer en un serializador que no utilice serialización Java, como StringRedisSerializer, teniendo en cuenta que debe establecerse como opción serializer y no solo en una redisTemplate personalizada. Como defensa en profundidad, exija autenticación en la instancia de Redis, restrinja qué clientes pueden publicar en los canales suscritos y no exponga a redes no fiables una instancia de Redis que consuma Camel.

Traducción automática del texto original de NVD (en inglés).

CVSS

Puntuación base
8.8
Versión
3.1
Vector
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Probabilidad de explotación (EPSS)

Probabilidad de explotación en los próximos 30 días
0.77 %
Percentil entre todas las CVEs puntuadas
55
Fecha de la puntuación
20/10/2026

EPSS (Exploit Prediction Scoring System, de FIRST) estima la probabilidad de que una vulnerabilidad sea explotada en 30 días. Complementa a CVSS (impacto) y a CISA KEV (explotación confirmada).

Exploits públicos

Hay código de explotación o plantillas de detección públicos. No es lo mismo que explotación activa confirmada (KEV), pero aumenta el riesgo: parchee con prioridad.

⚠️ Las pruebas de concepto de GitHub no están verificadas: algunas son falsas o contienen malware. No las ejecute nunca fuera de un laboratorio aislado.

Técnicas ATT&CK

Cómo se explota esta vulnerabilidad y qué consigue el atacante, en el lenguaje de MITRE ATT&CK.

Deserialización JDK sin filtro en RedisConsumer.setBody; el vector AV:N/PR:L/UI:N exige poder publicar en un canal suscrito, y readObject ejecuta código arbitrario.

Inferido por nuestro agente de análisis a partir de la descripción oficial, el vector CVSS y la CWE, y comprobado por un supervisor. Puede contener errores.

Mitigaciones ATT&CK que cubren estas técnicas

Privileged Account ManagementDisable or Remove Feature or ProgramVulnerability ScanningThreat Intelligence ProgramRestrict Web-Based ContentNetwork Segmentation

Tecnologías afectadas (1)

⚠ Inferidas por IA a partir de la descripción — NVD aún no ha analizado esta CVE; no son CPE verificados.

Apache — CamelAI

CWE

Referencias

Mostrar las 7 referencias

JSON original (NVD)

Mostrar
{
  "id": "CVE-2026-78165",
  "cveTags": [],
  "metrics": {
    "ssvcV203": [
      {
        "source": "134c704f-9b21-4f2e-91b3-4a467353bcc0",
        "ssvcData": {
          "id": "CVE-2026-78165",
          "role": "CISA Coordinator",
          "options": [
            {
              "exploitation": "poc"
            },
            {
              "automatable": "no"
            },
            {
              "technicalImpact": "total"
            }
          ],
          "version": "2.0.3",
          "timestamp": "2026-10-20T03:55:35.397588Z"
        }
      }
    ],
    "cvssMetricV31": [
      {
        "type": "Secondary",
        "source": "security@apache.org",
        "cvssData": {
          "scope": "UNCHANGED",
          "version": "3.1",
          "baseScore": 8.8,
          "attackVector": "NETWORK",
          "baseSeverity": "HIGH",
          "vectorString": "CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H",
          "integrityImpact": "HIGH",
          "userInteraction": "NONE",
          "attackComplexity": "LOW",
          "availabilityImpact": "HIGH",
          "privilegesRequired": "LOW",
          "confidentialityImpact": "HIGH"
        },
        "impactScore": 5.9,
        "exploitabilityScore": 2.8
      }
    ]
  },
  "affected": [
    {
      "source": "security@apache.org",
      "affectedData": [
        {
          "vendor": "Apache Software Foundation",
          "product": "Apache Camel",
          "versions": [
            {
              "status": "affected",
              "version": "2.11.0",
              "lessThan": "4.18.5",
              "versionType": "maven"
            },
            {
              "status": "affected",
              "version": "4.19.0",
              "lessThan": "4.22.1",
              "versionType": "maven"
            },
            {
              "status": "unaffected",
              "version": "4.18.5",
              "versionType": "maven"
            },
            {
              "status": "unaffected",
              "version": "4.22.1",
              "versionType": "maven"
            },
            {
              "status": "unaffected",
              "version": "4.23.0",
              "versionType": "maven"
            }
          ],
          "packageURL": "pkg:maven/org.apache.camel/camel-spring-redis",
          "packageName": "org.apache.camel:camel-spring-redis",
          "collectionURL": "https://repo.maven.apache.org/maven2",
          "defaultStatus": "unaffected"
        }
      ]
    }
  ],
  "published": "2026-10-19T11:17:19.643",
  "references": [
    {
      "url": "https://camel.apache.org/security/CVE-2026-78165.html",
      "source": "security@apache.org"
    },
    {
      "url": "https://github.com/apache/camel/pull/25587",
      "source": "security@apache.org"
    },
    {
      "url": "https://github.com/apache/camel/pull/25588",
      "source": "security@apache.org"
    },
    {
      "url": "https://github.com/apache/camel/pull/25589",
      "source": "security@apache.org"
    },
    {
      "url": "https://github.com/apache/camel/pull/25734",
      "source": "security@apache.org"
    },
    {
      "url": "https://issues.apache.org/jira/browse/CAMEL-24421",
      "source": "security@apache.org"
    },
    {
      "url": "https://github.com/oscerd/CVE-2026-78165",
      "source": "134c704f-9b21-4f2e-91b3-4a467353bcc0"
    }
  ],
  "vulnStatus": "Undergoing Analysis",
  "weaknesses": [
    {
      "type": "Secondary",
      "source": "security@apache.org",
      "description": [
        {
          "lang": "en",
          "value": "CWE-502"
        }
      ]
    }
  ],
  "descriptions": [
    {
      "lang": "en",
      "value": "Deserialization of Untrusted Data vulnerability in Apache Camel Spring Redis component.\n\n\n\nThis issue affects Apache Camel: from 2.11.0 before 4.18.5, from 4.19.0 before 4.22.1.\n\n\n\nRedisConfiguration.getSerializer lazily built a bare JdkSerializationRedisSerializer whenever no serializer option was configured, and that instance was used for every read the component performs. Spring's implementation delegates through DeserializingConverter to DefaultDeserializer, which reads the bytes with a ConfigurableObjectInputStream and installs no java.io.ObjectInputFilter on the stream, so an arbitrary serialized class graph was materialised and its readObject method executed. RedisConsumer.setBody applied that serializer to the raw bytes of every message published to the subscribed channels, before the Exchange was constructed and therefore before any route logic could inspect the message, so an actor able to issue PUBLISH on a subscribed channel reached the deserialization sink directly. The same default serializer backed the RedisTemplate built by RedisConfiguration.createDefaultTemplate, so the producer read commands GET, HGET, HGETALL and HVALS deserialized whatever was stored in the Redis keyspace, and SpringRedisIdempotentRepository shared that template. Configuring a custom redisTemplate did not close the consumer path, because RedisConsumer.setBody reads getSerializer directly rather than the serializer attached to the template, so a deployment that had wired a String serializer into its own template remained exposed on the consumer side unless it also set the serializer option. The component never constructed a java.io.ObjectInputStream itself, which is why earlier passes over the Camel codebase for unfiltered Java deserialization did not reach it. The behaviour dates back to the introduction of the component, first released in 2.11.0, and was unchanged until this fix.\n\n\n\nUsers are recommended to upgrade to version 4.23.0, which fixes the issue. If users are on the 4.22.x releases stream, then they are suggested to upgrade to 4.22.1. If users are on the 4.18.x releases stream, then they are suggested to upgrade to 4.18.5. The 4.14.x releases stream and earlier reached end of life before this issue was resolved and will not receive a fix, so deployments on those lines must move to a supported release. For deployments that cannot upgrade immediately, set the JVM-wide jdk.serialFilter system property, which the affected code path honours because it reads through a java.io.ObjectInputStream, for example -Djdk.serialFilter=!java.net.**;java.**;javax.**;org.apache.camel.**;!* ; or set the serializer endpoint option to a serializer that does not use Java serialization, such as StringRedisSerializer, noting that this must be set as the serializer option and not only on a custom redisTemplate. As defence in depth, require authentication on the Redis instance and restrict which clients may publish to the subscribed channels, and do not expose a Redis instance consumed by Camel to untrusted networks."
    }
  ],
  "lastModified": "2026-10-20T14:17:01.450",
  "sourceIdentifier": "security@apache.org"
}