🇰🇷 한글 설명
Apache Camel의 camel-mina 컴포넌트에서 IoBuffer를 java.io.ObjectInputStream으로 변환할 때 ObjectInputFilter나 클래스 로딩 제한을 적용하지 않는 취약점이 발견되었습니다. 공격자가 네트워크를 통해 조작된 직렬화된 Java 객체를 전송하면 애플리케이션 컨텍스트 내에서 임의의 코드가 실행될 수 있습니다.
💡 쉬운 설명
데이터를 주고받는 통로에서 검증되지 않은 외부 데이터를 그대로 받아들여 실행하는 보안 구멍이 있습니다. 해커가 특수하게 제작된 파일을 보내면 컴퓨터가 해커의 명령을 마음대로 수행할 수 있습니다.
🇺🇸 원문 (English)
The camel-mina component's MinaConverter.toObjectInput(IoBuffer) type converter wraps an IoBuffer in a java.io.ObjectInputStream without applying any ObjectInputFilter or class-loading restrictions. When a Camel route uses camel-mina as a TCP or UDP consumer and requests conversion to ObjectInput (for example via getBody(ObjectInput.class) or @Body ObjectInput), an attacker sending a crafted serialized Java object over the network to the MINA consumer port can trigger arbitrary code execution in the context of the application during readObject().
This issue affects Apache Camel: from 3.0.0 before 4.14.6, from 4.15.0 before 4.18.2, from 4.19.0 before 4.20.0.
Users are recommended to upgrade to version 4.20.0, which fixes the issue. If users are on the 4.14.x LTS releases stream, then they are suggested to upgrade to 4.14.6. If users are on the 4.18.x releases stream, then they are suggested to upgrade to 4.18.2.
📍 영향받는 시스템
Apache Camel: 3.0.0 ~ 4.14.5, 4.15.0 ~ 4.18.1, 4.19.0 ~ 4.19.x
⚔️ 공격 벡터
MINA 소비자 포트로 조작된 직렬화된 Java 객체를 네트워크를 통해 전송
🛡️ 대응 방법
Apache Camel을 4.20.0, 4.14.6, 또는 4.18.2 이상의 최신 보안 패치 버전으로 업그레이드
🔧 검증 코드
출력된 결과에서 camel-core의 버전을 확인하여 취약한 버전 범위에 해당하는지 체크합니다.
mvn dependency:list | grep camel-core