Wysoki Odebrany

CVE-2026-79985

opublikowano: 19.10.2026, 13:17

modyfikacja: 19.10.2026, 22:45

Ocena CVSS

7.4

Wysoki · v3.1

Oficjalne źródła

wektor: CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:N

>_ Opis

Tłumaczenie automatyczne – może zawierać nieścisłości.

Luka w zabezpieczeniach Nieprawidłowe ograniczenie nazwy ścieżki do katalogu z ograniczeniami („Path Traversal”) w komponencie Apache Camel SMB.

Ten problem dotyczy Apache Camel: od 4.2.0 przed 4.18.5, od 4.19.0 przed 4.22.1.

Konsumenci plików zdalnych Camel odpytują katalog na zdalnym serwerze i budują bezwzględną zdalną ścieżkę każdego pliku, łącząc skonfigurowany katalog z nazwą pliku podaną na liście katalogów serwera. Ta konkatenacja (FtpUtils.absoluteFilePath i GenericFileConsumer) nie stosowała żadnej normalizacji leksykalnej ani nie sprawdzała, czy wynik pozostał w odpytywanym katalogu, a wynikowa ścieżka stała się operandem dla każdej kolejnej zdalnej operacji na pliku: pobieranie (FtpOperations.retrieveFile / SftpOperations, osiągane z GenericFileConsumer, skąd nazwa pobierania jest pobierana dosłownie GenericFile.getAbsoluteFilePath), usuwanie w przypadku usunięcia=true (GenericFileDeleteProcessStrategy) i zmiana nazwy w przypadku skonfigurowania przenoszenia, preMove, moveFailed lub readLock=rename (GenericFileProcessStrategySupport i GenericFileRenameExclusiveReadLockStrategy). Ani isValidFile, ani isMatched nie przeprowadziły żadnej kontroli bezpieczeństwa. Wpis na liście, który nie jest pojedynczym segmentem ścieżki, jest zatem rozpoznawany jako ścieżka poza skonfigurowanym katalogiem odpytywania, co powoduje, że Camel czyta, usuwa lub zmienia nazwy plików poza nim przy użyciu własnych poświadczeń punktu końcowego. Nazwa wpisu nie jest danymi kontrolowanymi przez trasę. Jest dostarczany przez zdalny serwer, a kanał kontrolny FTP nie zapewnia żadnej ochrony integralności, więc atakujący znajdujący się na ścieżce może przepisać odpowiedź LIST bez posiadania żadnych poświadczeń; skompromitowany, złośliwy serwer z wieloma dzierżawcami lub serwer oparty na wirtualnym systemie plików może bezpośrednio wyemitować taką nazwę. Pobieranie jest możliwe w domyślnej konfiguracji konsumenckiej, ponieważ zdalni konsumenci pobierają każdy wymieniony plik; usunięcie i zmiana nazwy dodatkowo wymagają jednej z powyższych opcji dyspozycji, z których wszystkie są wspólne. Ucieczka z katalogu, w którym Camel został skonfigurowany do odpytywania, jest bezwarunkowa, natomiast ucieczka z granicy własnego konta serwera zależy dodatkowo od tego, czy ten serwer ogranicza konto. Opcja jailStartingDirectory, która jest udokumentowana jako ograniczająca Camela do katalogu początkowego i jest domyślnie włączona, podlega nadzorowi producenta zapisuje i, ponieważ zabezpieczenie localWorkDirectory działa, konsumenci pobierają do lokalnego katalogu roboczego - ale nie ograniczała tego zdalnego operandu, więc jego nazwa i opis obejmowały granicę, która nie była tutaj egzekwowana. Ten sam punkt wejścia został już rozpoznany po stronie lokalnej: ścieżka pobierania localWorkDirectory została ograniczona, tak że nazwa pliku zdalnego zawierająca segmenty katalogu nadrzędnego nie mogła zostać rozpoznana poza lokalnym katalogiem roboczym. Zdalny operand stanowił pozostałą połowę tej powierzchni. Ten artefakt udostępnia schemat smb. Konsument przegląda listę akcji samodzielnie, a nie za pośrednictwem RemoteFileConsumer, pomijając tylko dokładne „.” i „..”, więc nazwa zawierająca segmenty przejścia w dowolnej innej formie została połączona bez zaznaczenia. Osiągnięcie tego wymaga serwera, który emituje nazwę listy, która nie jest pojedynczym segmentem ścieżki, czego nie robi zgodna implementacja SMB2; ekspozycję skorygowano na tej samej podstawie, co w przypadku innych konsumentów korzystających ze zdalnych plików, a nie na podstawie zademonstrowanego dowodu słuszności koncepcji w odniesieniu do tego programu.

Uaktualnij do Apache Camel 4.23.0, co rozwiąże problem. Użytkownicy strumienia wydań 4.22.x powinni dokonać aktualizacji do wersji 4.22.1. Użytkownicy strumienia wydań 4.18.x LTS powinni dokonać aktualizacji do wersji 4.18.5. Strumień 4.14.x dobiegł końca i nie otrzymuje tej poprawki; użytkownicy powinni przejść do strumienia obsługiwanych wydań.

Improper Limitation of a Pathname to a Restricted Directory ('Path Traversal') vulnerability in Apache Camel SMB component.

This issue affects Apache Camel: from 4.2.0 before 4.18.5, from 4.19.0 before 4.22.1.

The Camel remote-file consumers poll a directory on a remote server and build the absolute remote path of each file by concatenating the configured directory with the file name reported in the server's directory listing. That concatenation (FtpUtils.absoluteFilePath and GenericFileConsumer) applied no lexical normalization and no check that the result stayed inside the directory being polled, and the resulting path became the operand for every subsequent remote operation on the file: retrieval (FtpOperations.retrieveFile / SftpOperations, reached from GenericFileConsumer where the retrieve name is taken verbatim from GenericFile.getAbsoluteFilePath), deletion when delete=true (GenericFileDeleteProcessStrategy), and renaming when move, preMove, moveFailed or readLock=rename is configured (GenericFileProcessStrategySupport and GenericFileRenameExclusiveReadLockStrategy). Neither isValidFile nor isMatched performed any containment check. A listing entry that is not a single path segment therefore resolved to a path outside the configured polling directory, causing Camel to read, delete or rename files outside it using the endpoint's own credentials. A listing name is not route-controlled data. It is supplied by the remote server, and the FTP control channel carries no integrity protection at all, so an on-path attacker can rewrite a LIST response without holding any credentials; a compromised, malicious or multi-tenant server, or a server backed by a virtual filesystem, can emit such a name directly. Retrieval is reachable in a default consumer configuration, since the remote consumers download every listed file; deletion and renaming additionally require one of the disposition options above, all of which are common. Escape from the directory Camel was configured to poll is unconditional, while escape from the server's own account boundary additionally depends on whether that server confines the account. The jailStartingDirectory option, which is documented as restricting Camel to the starting directory and is enabled by default, governed producer writes and, since the localWorkDirectory containment work, consumer downloads to the local work directory - but it did not constrain this remote operand, so its name and description claimed a boundary that was not enforced here. The same entry point had already been recognised on the local side: the localWorkDirectory download path was constrained so that a remote file name containing parent-directory segments could not resolve outside the local work directory. The remote operand was the remaining half of that surface. This artifact provides the smb scheme. Its consumer walks the share listing on its own rather than through RemoteFileConsumer, skipping only the exact "." and ".." entries, so a name carrying traversal segments in any other form was concatenated unchecked. Reaching it requires a server that emits a listing name which is not a single path segment, which a conforming SMB2 implementation does not do; the exposure was corrected on the same basis as the other remote-file consumers rather than from a demonstrated proof of concept against this scheme.

Upgrade to Apache Camel 4.23.0, which fixes the issue. Users on the 4.22.x releases stream should upgrade to 4.22.1. Users on the 4.18.x LTS releases stream should upgrade to 4.18.5. The 4.14.x stream reached end of life and does not receive this fix; users on it should move to a supported releases stream.

>_ Słabości (CWE)

CWE-22

>_ Referencje

Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.

This product uses the NVD API but is not endorsed or certified by the NVD.

CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.

NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org

<< baza_cve