Apache Software Foundation が提供する製品において、複数の重大な脆弱性が確認された。Apache Camel の camel-hazelcast コンポーネントの一部の設定パスにおいて、Java デシリアライゼーションの保護が適用されず制限されない状態となっている問題や、Apache Answer のリアクション API において重要な機能に対する認証が欠落している問題が含まれる。最も深刻度の高い問題では CVSS 基本値 10.0 の重大な評価が下されており、不正なデータの逆シリアル化などを通じてシステムに深刻な影響を及ぼす恐れがある。
対象ソフト
Apache Camel は企業システムにおけるデータ連携や統合を効率化するためのオープンソースのインテグレーションフレームワークであり、Apache Answer は質問応答サイトを構築するためのオープンソースプラットフォームである。
影響
攻撃者によって不正なデータが逆シリアル化されることや、制限されたコンテンツのメタデータの読み取り、認証されていないユーザーによるリアクションの追加や削除が行われる可能性がある。
対応策
Apache Answer に関しては、問題を修正したバージョン 2.0.3 へアップグレードすることが推奨される。Apache Camel に関する具体的な対策については公式の案内を確認すること。
