CVE-2026-90885

ملخص

ثغرة الاستخدام غير السليم لمرجع الكيانات الخارجية في XML (XML External Entity Reference) في مكوّن Apache Camel Saxon. تؤثر هذه المشكلة على Apache Camel: من 4.0.0 قبل 4.18.5، ومن 4.19.0 قبل 4.22.2. كان XQueryBuilder في camel-saxon، الذي يقيّم التعبيرات الخاصة بلغة xquery ومكوّن xquery، يبني Configuration الافتراضي الخاص بـ Saxon بخيارات تحليل تضبط فقط قاعدة إزالة المسافات البيضاء، تاركًا محلّل XML على إعداداته الافتراضية، التي تُقبل فيها إعلانات DOCTYPE وتُحلّ فيها الكيانات الخارجية. يُحوَّل جسم الرسالة من نوع String أو byte[]، أو أي جسم يُقرأ كـ InputStream، أولًا إلى javax.xml.transform.Source بواسطة محوّلات أنواع XML الخاصة بـ Camel، التي تضبط المحلّل ضد الكيانات الخارجية، لذا لم تتأثر تلك الأجسام. أما الجسم الذي كان بالفعل Source، فقد سُلّم إلى Saxon دون تغيير، وعندما كان لا بد من تحليل ذلك Source، كما هو الحال مع Source المعتمد على stream، كان Saxon يحلّله باستخدام ذلك Configuration، متجاوزًا الحماية المطبّقة على أنواع الأجسام الأخرى. ينشأ مثل هذا الجسم، على سبيل المثال، بعد أن يحوّل مسار الرسالة باستخدام convertBodyTo(Source.class)، أو عندما يضبط مكوّن أو معالج في وقت سابق من المسار الجسمَ إلى Source معتمد على stream. لذلك كان DOCTYPE مع مجموعة فرعية خارجية، أو كيان خارجي، معلن في ذلك الجسم يُحلّ ويُوسَّع داخل المستند الذي قُيّم التعبير مقابله. كان بإمكان مرسل خارجي يصل XML الخاص به إلى تعبير XQuery أو نقطة نهاية xquery بهذا الشكل أن يقرأ الملفات القابلة للقراءة بواسطة عملية Camel وأن يتسبب في أن تُصدر العملية طلبات إلى المضيفين الذين يسمّيهم المستند. لا يُشترط أي خيار غير افتراضي، لأن Configuration الافتراضي يُستخدم كلما لم يوفّر المسار واحدًا خاصًا به. يُوصى المستخدمون بالترقية إلى الإصدار 4.23.0، الذي يصلح المشكلة. إذا كان المستخدمون على سلسلة إصدارات 4.22.x، فيُقترح عليهم الترقية إلى 4.22.2. وإذا كان المستخدمون على سلسلة إصدارات 4.18.x، فيُقترح عليهم الترقية إلى 4.18.5. وصلت سلسلة إصدارات 4.14.x وما قبلها، وكذلك خطوط الإصدارات 4.15.x إلى 4.17.x و4.19.x إلى 4.21.x، إلى نهاية العمر قبل حل هذه المشكلة ولن تتلقى إصلاحًا، لذا يجب على عمليات النشر عليها الانتقال إلى إصدار مدعوم. بالنسبة لعمليات النشر التي لا يمكنها الترقية فورًا، لا تقيّم XQuery على جسم رسالة هو بالفعل javax.xml.transform.Source عندما يحمل ذلك الجسم XML من مرسل غير موثوق، أو اضبط خيار configuration لنقطة نهاية xquery أو اللغة على Saxon Configuration ترفض خيارات التحليل الخاصة به إعلان DOCTYPE وتعطّل الكيانات الخارجية وتحميل DTD الخارجي، وهو ما تطبّقه الإصدارات المُصلحة الآن افتراضيًا.

المصادر