CVE-2026-88901

ملخص

ثغرة الاستخدام غير السليم لتقييد مرجع الكيانات الخارجية في XML (XML External Entity Reference) في Apache Camel. تؤثر هذه المشكلة على Apache Camel: من 4.7.0 قبل 4.18.5، ومن 4.19.0 قبل 4.22.1. يسمح التقييد غير السليم لمرجع الكيانات الخارجية في XML في مكوّن Smooks (camel-smooks) في Apache Camel للمهاجم الذي يزوّد جسم رسالة XML بقراءة ملفات محلية أو إرسال طلبات إلى مواقع على الشبكة الداخلية عبر إعلان كيان خارجي في ذلك الجسم. تؤثر هذه المشكلة على Apache Camel: من 4.7.0 قبل 4.18.5، ومن 4.19.0 قبل 4.22.1. يقوم تنسيق بيانات Smooks (‎.unmarshal().smooks(...)‎) ومكوّن Smooks (smooks:) بتحليل جسم XML الوارد باستخدام القارئ الذي يحلّه Smooks افتراضيًا، وهو محلّل Woodstox SAX. يحلّ ذلك القارئ الكيانات العامة والمعاملات الخارجية ويحمّل ملفات DTD الخارجية، ولم يطبّق camel-smooks أيًا من تقوية المحلّل التي تطبّقها مكوّنات Camel الأخرى الخاصة بـ XML. لذلك يتم حلّ وتوسيع أي DOCTYPE يحتوي على مجموعة فرعية خارجية، أو كيان عام خارجي، معلن في مستند XML أثناء إلغاء تحويل الجسم (unmarshal)، ويُربط المحتوى المحلول في النتيجة الناتجة عن إلغاء التحويل ويُعاد على مسارات InOut. وبالتالي يمكن للمرسل الخارجي الذي تصل رسالته XML إلى تنسيق بيانات أو نقطة نهاية camel-smooks أن يقرأ الملفات التي يمكن لعملية Camel قراءتها وأن يتسبب في قيام العملية بإرسال طلبات إلى المضيفين الذين يسمّيهم المستند. لا يُشترط أي خيار غير افتراضي، لأن حلّ الكيانات الخارجية كان السلوك الافتراضي. الإعدادات التي تعلن قارئًا خاصًا بها - EDI أو CSV أو JSON أو قارئ مخصص - لا تستخدم قارئ XML ولا تتأثر. يُوصى للمستخدمين بالترقية إلى الإصدار 4.18.5 أو 4.22.1 أو 4.23.0، الذي يصلح المشكلة. قم بالترقية إلى Apache Camel 4.23.0، الذي يصلح المشكلة. يجب على المستخدمين على سلسلة إصدارات الدعم طويل الأمد 4.18.x الترقية إلى 4.18.5. يجب على المستخدمين على سلسلة إصدارات الدعم طويل الأمد 4.22.x الترقية إلى 4.22.1. يقوم camel-smooks الآن بتحليل جسم XML باستخدام javax.xml.parsers.DocumentBuilder لا يحلّ الكيانات العامة أو المعاملات الخارجية ولا يحمّل ملفات DTD الخارجية، ويسلّم Smooks المستند الناتج، بما يطابق إعداد معالجة XML الآمن المستخدم في org.apache.camel.converter.jaxp.XmlConverter ومكوّنات Camel الأخرى الخاصة بـ XML. تُطبّق هذه التقوية فقط عندما يحلّل إعداد Smooks ملف XML باستخدام قارئه الافتراضي، لذا تبقى إعدادات EDI وCSV وJSON والقارئ المخصص، واتجاه التحويل (marshalling)، دون تغيير. يعيد خيار جديد allowExternalEntities، المعطّل افتراضيًا، السلوك السابق للإعدادات القديمة الموثوقة التي تعتمد على حلّ الكيانات الخارجية. وصلت سلسلة إصدارات camel-4.14.x وما قبلها إلى نهاية العمر الافتراضي قبل حلّ هذه المشكلة ولن تتلقى إصلاحًا، لذا يجب على عمليات النشر على تلك الخطوط الانتقال إلى إصدار مدعوم. بالنسبة لعمليات النشر التي لا يمكنها الترقية فورًا، لا تطبّق camel-smooks على XML الوارد من مرسلين غير موثوقين.