Wysoki Oczekuje na analizę

CVE-2026-90885

opublikowano: 26.10.2026, 16:16

modyfikacja: 26.10.2026, 17:54

Ocena CVSS

7.5

Wysoki · v3.1

Oficjalne źródła

wektor: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N

>_ Opis

Tłumaczenie automatyczne – może zawierać nieścisłości.

Niewłaściwe ograniczenie luki w zabezpieczeniach XML external Entity Reference w komponencie Apache Camel Saxon.

Ten problem dotyczy Apache Camel: od 4.0.0 przed 4.18.5, od 4.19.0 przed 4.22.2.

XQueryBuilder w języku wielbłądziej-saksońskim, który ocenia wyrażenia dla języka xquery i komponentu xquery, zbudował swoją domyślną konfigurację saksońską z opcjami analizy, które ustawiają tylko regułę usuwania białych znaków, pozostawiając parser XML w jego ustawieniach domyślnych, zgodnie z którymi akceptowana jest deklaracja DOCTYPE i rozwiązywane są podmioty zewnętrzne. Treść komunikatu typu String lub byte[] albo dowolna treść odczytana jako strumień wejściowy jest najpierw przekształcana w plik javax.xml.transform.Source przez własne konwertery typu XML firmy Camel, które konfigurują parser pod kątem jednostek zewnętrznych, więc treści te nie ulegają zmianie. Jednakże ciało, które było już Źródłem, zostało przekazane Saxonowi w niezmienionej postaci, a kiedy to Źródło nadal musiało zostać przeanalizowane, tak jak dzieje się to w przypadku Źródła opartego na strumieniu, Saxon przeanalizował je z tą Konfiguracją, omijając ochronę stosowaną w przypadku innych typów ciał. Taka treść powstaje na przykład po przekonwertowaniu wiadomości przez trasę za pomocą funkcji konwersjiBodyTo(Source.class) lub gdy komponent lub procesor znajdujący się wcześniej w trasie ustawia treść na źródło oparte na strumieniu. Dlatego DOCTYPE z zewnętrznym podzbiorem lub jednostką zewnętrzną zadeklarowany w tej treści został rozwiązany i rozszerzony na dokument, na podstawie którego oceniano wyrażenie. Zewnętrzny nadawca, którego XML dociera do wyrażenia XQuery lub punktu końcowego xquery w tej formie, może odczytać pliki czytelne dla procesu Camela i spowodować, że proces wyśle żądania do hostów z nazwami dokumentów. Nie jest wymagana żadna opcja inna niż domyślna, ponieważ konfiguracja domyślna jest używana zawsze, gdy trasa nie zapewnia własnej.

Użytkownikom zaleca się aktualizację do wersji 4.23.0, która rozwiązuje problem. Jeśli użytkownicy korzystają ze strumienia wydań 4.22.x, sugeruje się im aktualizację do wersji 4.22.2. Jeśli użytkownicy korzystają ze strumienia wydań 4.18.x, sugeruje się im aktualizację do wersji 4.18.5. Strumień wydań 4.14.x i wcześniejszych, a także linie wydań 4.15.x do 4.17.x i 4.19.x do 4.21.x dobiegły końca przed rozwiązaniem tego problemu i nie otrzymają poprawki, więc wdrożenia w nich muszą zostać przeniesione do obsługiwanej wersji. W przypadku wdrożeń, których nie można uaktualnić natychmiast, nie oceniaj XQuery w treści wiadomości, która jest już źródłem javax.xml.transform.Source, gdy treść ta zawiera XML od niezaufanego nadawcy, lub ustaw opcję konfiguracji punktu końcowego lub języka xquery na konfigurację saksońską, której opcje analizy odrzucają deklarację DOCTYPE i wyłączają zewnętrzne jednostki i zewnętrzne ładowanie DTD, co jest teraz domyślnie stosowane w poprawionych wersjach.

Improper Restriction of XML External Entity Reference vulnerability in Apache Camel Saxon component.

This issue affects Apache Camel: from 4.0.0 before 4.18.5, from 4.19.0 before 4.22.2.

XQueryBuilder in camel-saxon, which evaluates expressions for the xquery language and the xquery component, built its default Saxon Configuration with parse options that set only a whitespace stripping rule, leaving the XML parser at its defaults, under which a DOCTYPE declaration is accepted and external entities are resolved. A message body of type String or byte[], or any body read as an InputStream, is first turned into a javax.xml.transform.Source by Camel's own XML type converters, which configure the parser against external entities, so those bodies were not affected. A body that was already a Source, however, was handed to Saxon unchanged, and when that Source still had to be parsed, as a stream-based Source does, Saxon parsed it with that Configuration, bypassing the protection applied to the other body types. Such a body arises, for example, after a route converts the message with convertBodyTo(Source.class), or when a component or processor earlier in the route sets the body to a stream-based Source. A DOCTYPE with an external subset, or an external entity, declared in that body was therefore resolved and expanded into the document the expression was evaluated against. An external sender whose XML reaches an XQuery expression or an xquery endpoint in that form could read files readable by the Camel process and cause the process to issue requests to hosts the document names. No non-default option is required, since the default Configuration is used whenever the route does not supply one of its own.

Users are recommended to upgrade to version 4.23.0, which fixes the issue. If users are on the 4.22.x releases stream, then they are suggested to upgrade to 4.22.2. If users are on the 4.18.x releases stream, then they are suggested to upgrade to 4.18.5. The 4.14.x releases stream and earlier, as well as the 4.15.x to 4.17.x and 4.19.x to 4.21.x release lines, reached end of life before this issue was resolved and will not receive a fix, so deployments on them must move to a supported release. For deployments that cannot upgrade immediately, do not evaluate XQuery over a message body that is already a javax.xml.transform.Source when that body carries XML from an untrusted sender, or set the configuration option of the xquery endpoint or language to a Saxon Configuration whose parse options refuse a DOCTYPE declaration and disable external entities and external DTD loading, which is what the fixed releases now apply by default.

>_ Słabości (CWE)

CWE-611

>_ Referencje

Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.

This product uses the NVD API but is not endorsed or certified by the NVD.

CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.

NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org

<< baza_cve