CVE-2026-40860

Die Schwachstelle CVE-2026-40860 betrifft Apache Camel und ermöglicht Remote Code Execution (RCE) durch unsichere Deserialisierung. Speziell die Komponenten camel-jms und camel-sjms deserialisieren JMS ObjectMessage-Payloads ohne entsprechende Filterung, wenn die Option mapJmsMessage aktiviert ist und Camel als JMS-Consumer agiert. Ein Angreifer kann durch das Veröffentlichen einer präparierten ObjectMessage auf einer von Camel konsumierten Queue oder Topic die Ausführung beliebigen Codes erreichen, sofern eine Deserialisierungs-Gadget-Kette im Classpath vorhanden ist. Betroffen sind auch transitive Komponenten wie camel-sjms2, camel-amqp, camel-activemq und camel-activemq6.

Mit einem CVSS-Score von 9.8 (CRITICAL) ist diese Schwachstelle als äußerst kritisch einzustufen. Obwohl die Exploit-Wahrscheinlichkeit laut EPSS mit 1% derzeit niedrig ist und die Schwachstelle nicht in der CISA KEV-Liste aufgeführt ist, stellt das Potenzial für Remote Code Execution ein erhebliches Risiko dar. Die hohe Kritikalität erfordert eine umgehende Reaktion, da RCE-Schwachstellen oft schnell ausgenutzt werden, sobald Exploits öffentlich verfügbar sind.

Security-Teams sollten umgehend alle betroffenen Apache Camel-Installationen identifizieren und aktualisieren. Empfohlen wird ein Upgrade auf Version 4.20.0. Für LTS-Releases der 4.14.x-Reihe sollte auf 4.14.7 aktualisiert werden, und für die 4.18.x-Reihe auf 4.18.2. Bis zur vollständigen Patch-Implementierung sollten, falls möglich, temporäre Mitigationen wie die Deaktivierung der mapJmsMessage-Option oder die Implementierung von ObjectInputFiltern in Betracht gezogen werden, um das Risiko zu minimieren.