本文使用的 Docker 镜像
发布日期： 2026 年 11 月 4 日
更新日期： 2026 年 11 月 4 日
更新内容： 补报同批 Critical / 其余 High：Hazelcast 反序列化 RCE（CVE-2026-78162，9.8），以及 Dynamic-Router、Netty-HTTP、AS2、OAuth、XPath、HTTP 重定向、SMB、Mina-SFTP 等。修复版本口径不变。此前仅覆盖 FTP/Azure Files 路径穿越（79983/79986）。
风险等级： 严重（Critical）起
漏洞编号： CVE-2026-78162 · CVE-2026-88900 · CVE-2026-83531 · CVE-2026-80343 · CVE-2026-80344 · CVE-2026-80312 · CVE-2026-85250 · CVE-2026-85251 · CVE-2026-79985 · CVE-2026-79984 · CVE-2026-79983 · CVE-2026-79986
涉及镜像： apache/camel-jbang — 轩辕镜像 · Docker Hub
CVSS： CVE-2026-78162 为 9.8（Critical）；其余见下表（High 7.4–8.8）
披露时间： 厂商约 2026 年 10 月公告；NVD lastMod 至 2026 年 11 月 3 日后分批纳入
相关公告： Camel 4.23.0 安全通告总览 · CVE-2026-78162
一、漏洞概述
4.23.0 安全通告 同批覆盖多条组件问题。按影响从高到低摘要如下：
| 编号 | 组件 / 主题 | CVSS 3.1 | 后果 |
|---|---|---|---|
| CVE-2026-78162 | camel-hazelcast（CVE-2026-43865 修复不完整） | 9.8 | 部分配置路径未挂 Java 反序列化过滤器，不可信数据可 RCE |
| CVE-2026-88900 / CVE-2026-83531 | Dynamic-Router 等 | 8.8 | 控制消息中的表达式 / 谓词可致代码执行 |
| CVE-2026-80343 | camel-netty-http | 8.2 | 请求路径大小写绕过安全约束 |
| CVE-2026-80344 | camel-as2 | 8.2 | 异步 MDN 地址导致 SSRF / 凭据泄露 |
| CVE-2026-80312 | camel-oauth | 8.2 | 认证失败未阻断路由，鉴权绕过 |
| CVE-2026-85250 | camel-xpath | 7.5 | documentType=InputSource 时 XXE |
| CVE-2026-85251 | camel-http | 7.5 | followRedirects 时重定向凭据泄露 |
| CVE-2026-79985 | camel-smb | 7.4 | 共享列表文件名路径穿越 |
| CVE-2026-79984 | camel-mina-sftp | 7.4 | 目录列表文件名路径穿越 |
| CVE-2026-79983 | camel-ftp / SFTP | 7.4 | 目录列表文件名路径穿越 |
| CVE-2026-79986 | camel-azure-files | 7.4 | 共享列表文件名路径穿越 |
Hazelcast / JGroups 类反序列化场景，除升级外建议同时配置 jdk.serialFilter，并为集群开启 AUTH / 加密。
二、漏洞状态
统计截止： 2026 年 11 月 4 日（UTC+8）
| 项目 | 状态 |
|---|---|
| 漏洞细节 | 已公开（Camel 安全页、GHSA、NVD） |
| 受影响版本 | 4.0.0 ≤ ver < 4.18.5；4.19.0 ≤ ver < 4.22.1（以各 CVE 页为准，多数同此区间） |
| 官方补丁 | 4.18.5（4.18.x 线）· 4.22.1（4.19+ 线）· 4.23.0+ |
| 镜像标签 | Hub 已核实 apache/camel-jbang:4.22.1。没有 4.18.5、4.23.0。apache/camel 仓 0 tags，不要用 |
| CISA KEV | 未列入 |
三、影响范围
运行受影响 Camel 版本，并且启用了上表对应组件的集成（含官方容器化发行）。未使用相关组件的，不在对应 CVE 的入口里；Hazelcast 反序列化与 Dynamic-Router 注入优先按 RCE 处置。
四、修复建议
| 当前线 | 升到 |
|---|---|
| 4.18.x | ≥ 4.18.5（Hub 暂无该标签，请按发行包 / 自建） |
| 4.19.0–4.22.0 | ≥ 4.22.1 |
| 更新主线 | 4.23.0+（Hub 暂无该标签） |
容器侧可固定已核实的 JBang 镜像：
bashdocker pull docker.xuanyuan.run/apache/camel-jbang:4.22.1
使用 Hazelcast / JGroups 的，升级后仍建议配置 jdk.serialFilter，并打开集群 AUTH / 加密。不要用 apache/camel 仓，也不要把不存在的 4.18.5 / 4.23.0 镜像标签写成可拉坐标。
Docker Hub： apache/camel-jbang
轩辕镜像： apache/camel-jbang
五、临时缓解措施
在升级之前：下线或隔离不可信的 Hazelcast / Dynamic-Router 控制面；不要信任不可控的远程目录列表；收紧 OAuth / HTTP / AS2 出网与回调地址。这不能代替 4.18.5 / 4.22.1 / 4.23.0+。
六、与轩辕镜像用户的相关说明
轩辕镜像提供的是镜像加速与拉取服务，不替代 Camel 的版本修复。请固定 apache/camel-jbang:4.22.1；基于更旧标签或自研 Camel 发行的，要改依赖版本后重新构建。
七、参考链接
- Camel：4.23.0 安全通告总览 · CVE-2026-78162 · CVE-2026-79983 · CVE-2026-79986
- NVD：CVE-2026-78162
- Docker Hub：apache/camel-jbang
- 轩辕站内镜像页：apache/camel-jbang
阅读原文
轩辕镜像安全团队
2026 年 11 月 4 日
评论交流
免责声明
本博客文章所提供的内容、技术方案、配置示例及部署指南等信息，仅供学习交流和技术参考使用。文章内容基于发布时的技术环境和版本信息编写，可能因时间推移、技术更新或环境差异而存在不适用的情况。
文中提及的第三方镜像由其原维护者自行维护与更新，轩辕镜像不负责相关镜像的维护。如镜像涉及版权争议或违法违规情形，请直接联系该镜像维护者处理，相关事宜与轩辕镜像无关。
用户在参考本博客内容进行部署操作前，应当充分了解相关技术风险，并建议在测试环境中进行充分验证和测试，确认无误后再考虑在生产环境中使用。生产环境部署前，请务必进行数据备份，并制定相应的回滚方案。
用户因使用本博客内容进行部署操作而产生的任何损失、数据丢失、系统故障、安全风险或其他问题，均由用户自行承担全部责任。轩辕镜像官方不对因使用本博客内容而产生的任何直接或间接损失承担责任。
本免责声明的最终解释权归轩辕镜像官方所有。