CVE-2026-85250

Niewłaściwe ograniczenie luki w zabezpieczeniach XML external Entity Reference w komponencie Apache Camel XPath.

Ten problem dotyczy Apache Camel: od 4.0.0 przed 4.18.5, od 4.19.0 przed 4.22.1.

Po ustawieniu documentType na InputSource, XPathBuilder przekazał ładunek bezpośrednio do javax.xml.xpath, który tworzy własny DocumentBuilder, korzystając z ustawień domyślnych JDK. Dlatego też pominięto wzmocnienie zastosowane w domyślnym typie dokumentu Camela: przyjęto tutaj deklarację DOCTYPE, która została odrzucona w przypadku domyślnego typu dokumentu, a zadeklarowany przez nią podmiot zewnętrzny został rozwiązany i rozszerzony do ocenianego dokumentu. Zewnętrzny nadawca, którego XML osiąga takie wyrażenie, mógłby odczytać pliki możliwe do odczytania przez proces Camela i spowodować, że proces wyśle ​​żądania do hostów, których nazwę. Dwa typy dokumentów różniące się co do konfiguracji parsera sprawiły, że było to osiągalne, ponieważ wdrożenie wybierające źródło wejściowe ze względu na przesyłanie strumieniowe nic nie wskazywało, że wybierało również słabszy analizator składni.

Uaktualnij do Apache Camel 4.23.0, co rozwiąże problem. Użytkownicy strumienia wydań 4.18.x LTS powinni dokonać aktualizacji do wersji 4.18.5. Użytkownicy strumienia wydań 4.22.x LTS powinni dokonać aktualizacji do wersji 4.22.1. Typ dokumentu InputSource przechodzi teraz przez ten sam udoskonalony analizator składni, co typ domyślny, więc dokument DOCTYPE jest odrzucany. Należy zauważyć, że udostępnia on również udokumentowaną lukę ewakuacyjną tego typu: te same właściwości systemowe DocumentBuilderFactory, które rozluźniają typ domyślny, rozluźniają ten typ, więc wdrożenie, które je ustawił, pozostaje niechronione zgodnie z projektem. W przypadku wdrożeń, których nie można natychmiast uaktualnić, nie używaj documentType=InputSource w wyrażeniach ocenianych w niezaufanym formacie XML; domyślny typ dokumentu już odrzuca DOCTYPE.