CVE-2026-85250

Zusammenfassung

Unzureichende Einschränkung von XML-External-Entity-Referenzen (XXE) in der Apache-Camel-XPath-Komponente. Dieses Problem betrifft Apache Camel: von 4.0.0 bis vor 4.18.5, von 4.19.0 bis vor 4.22.1. Bei auf InputSource gesetztem documentType übergab XPathBuilder die Nutzlast direkt an javax.xml.xpath, das einen eigenen DocumentBuilder mit den JDK-Standardwerten erstellt. Die Härtung, die auf Camels Standard-Dokumenttyp angewendet wurde, wurde dadurch umgangen: Eine DOCTYPE-Deklaration, die beim Standardtyp abgelehnt wird, wurde hier akzeptiert, und die darin deklarierte externe Entität wurde aufgelöst und in das ausgewertete Dokument expandiert. Ein externer Absender, dessen XML einen solchen Ausdruck erreicht, könnte Dateien lesen, die für den Camel-Prozess lesbar sind, und den Prozess dazu bringen, Anfragen an von ihm benannte Hosts zu senden. Dass die beiden Dokumenttypen sich in der Parser-Konfiguration unterscheiden, machte dies erreichbar, da eine Bereitstellung, die InputSource aus Streaming-Gründen wählte, keinen Hinweis darauf hatte, dass sie damit auch einen schwächeren Parser wählte. Führen Sie ein Upgrade auf Apache Camel 4.23.0 durch, das das Problem behebt. Benutzer des 4.18.x-LTS-Release-Streams sollten auf 4.18.5 aktualisieren. Benutzer des 4.22.x-LTS-Release-Streams sollten auf 4.22.1 aktualisieren. Der Dokumenttyp InputSource durchläuft nun denselben gehärteten Parser wie der Standardtyp, sodass eine DOCTYPE-Deklaration abgelehnt wird. Beachten Sie, dass er auch die dokumentierte Notlösung dieses Typs teilt: Dieselben DocumentBuilderFactory-Systemeigenschaften, die den Standardtyp lockern, lockern auch diesen, sodass eine Bereitstellung, die sie gesetzt hat, konstruktionsbedingt ungeschützt bleibt. Für Bereitstellungen, die nicht sofort aktualisieren können: Verwenden Sie documentType=InputSource nicht bei Ausdrücken, die über nicht vertrauenswürdigem XML ausgewertet werden; der Standard-Dokumenttyp lehnt eine DOCTYPE-Deklaration bereits ab.

Quellen

• CVE-2026-85250PoC

  Lauffähiger XXE-Proof-of-Concept für CVE-2026-85250 in Apache Camel camel-xpath (documentType=InputSource), mit betroffenen und behobenen Spring-Boot- und Quarkus-Demos.