Une mise à jour de l’avis GHSA signale une désérialisation de données non fiables dans Camel-PQC, susceptible de conduire à une exécution de code si un attaquant peut écrire dans le répertoire de clés utilisé. Les versions corrigées sont 4.18.2 pour la branche 4.18.x et 4.20.0 pour la branche 4.19.x ; mettre à niveau vers la version correspondante.
Source : GHSA-v3vg-332r-mw99 — Camel-PQC Vulnerable to Deserialization of Untrusted Data
Analyse technique
FileBasedKeyLifecycleManager désérialise des fichiers .key avec ObjectInputStream sans filtre d’objets ni restriction de chargement de classes. L’avis précise que l’exploitation requiert la possibilité d’écrire dans le répertoire de clés ; la correction remplace ce mécanisme par un stockage Base64 JSON fondé sur PKCS#8 et X.509 SubjectPublicKeyInfo.
Impact, versions et correctif
Action recommandée
Mettre à niveau camel-pqc vers 4.18.2 ou 4.20.0 selon la branche utilisée et vérifier les permissions d’accès au répertoire de clés.
Sources
Priorisation DFS : P3 · 1 source(s).