CVE-2026-66907 — تجاوز المسار في downloadFileName الخاص بـ camel-google-storage

مستنسخات قابلة للتشغيل لإثبات المفهوم لنفس ثغرة Apache Camel، واحدة لكل بيئة تشغيل:

كلاهما نسختان متأثرتان (تم إصلاح المشكلة في 4.14.9 / 4.18.4 / 4.22.0)، وكلاهما يُظهر الخلل ذاته: يقوم مستهلك camel-google-storage بتنزيل كائنات الحاوية (bucket) إلى نظام الملفات المحلي عندما يكون downloadFileName دليلاً، وبناء الوجهة المحلية بإلحاق اسم الكائن البعيد به (downloadFileName + "/${file:name}"). يُرجع رمز ${file:name} اسم الكائن حرفيًا (على عكس ${file:onlyname} الذي يزيل المسار)، وتُمرَّر النتيجة إلى new File(result) / blob.downloadTo(file.toPath()) دون أي تطبيع ودون أي تحقق من بقاء الوجهة داخل الدليل المُعرَّف. اسم الكائن ليس مُتحكمًا فيه عبر المسار (route) — إذ يقوم المستهلك بسرد الحاوية وتنزيل كل كائن — لذا فإن أي كائن يحتوي اسمه على مقاطع ../ يُكتب خارج downloadFileName (CWE-22، تجاوز المسار → كتابة ملف تعسفية).

كل دليل فرعي مكتفٍ ذاتيًا (يحتوي على Dockerfile خاص به، وdocker-compose.yml لتشغيل محاكي fake-gcs-server، وREADME). باختصار، لأي منهما:

cd camel-spring-boot   # or: cd camel-quarkus
mvn clean package
docker compose up -d --build
curl -s http://localhost:8080/exploit/attack
docker compose down

الإخراج المتوقع على نسخة متأثرة (كلا النموذجين):

Files inside the intended download directory /app/downloads:
    - report.txt
File written OUTSIDE it, at /tmp/pwned-66907.txt: true
    content: PWNED via path traversal — CVE-2026-66907
>>> PROVEN: the object name's ../ segments escaped the configured downloadFileName directory ... : true

ملخص الثغرة

نشرة الأمان: https://camel.apache.org/security/CVE-2026-66907.html

الإصلاح

يقوم المستهلك الآن بتطبيع المسار الذي تم حله ويؤكد أنه يبقى داخل دليل downloadFileName المُعرَّف (عبر GoogleCloudStorageFileNameHelper.assertWithinDirectory)، رافضًا أسماء الكائنات التي قد تخرج عنه.

ملاحظات حول المحاكي

يقوم ملف docker-compose.yml بتشغيل fake-gcs-server مع -backend memory. يتم بعد ذلك الاحتفاظ بأسماء الكائنات كمفاتيح خريطة غير شفافة، لذا يتم الحفاظ على الاسم الذي يحتوي على ../؛ أما الواجهة الخلفية الافتراضية لنظام الملفات فستقوم بحل ../ ولن يصبح الكائن قابلًا للسرد.

إخلاء مسؤولية

تم نشر هذا المستودع لأغراض تعليمية ودفاعية: لمساعدة مستخدمي Apache Camel على فهم الثغرة، والتحقق مما إذا كانوا متأثرين، والتأكد من أن الترقية تحلها. الملف المكتوب هو علامة غير ضارة تحت /tmp. لا تستخدم هذه المواد ضد أنظمة لا تملكها أو لا تديرها.