CVE-2026-88901

Zusammenfassung

Unzureichende Einschränkung von XML-External-Entity-Referenzen (XXE) in Apache Camel. Dieses Problem betrifft Apache Camel: von 4.7.0 vor 4.18.5, von 4.19.0 vor 4.22.1. Die unzureichende Einschränkung von XML-External-Entity-Referenzen in der Smooks-Komponente (camel-smooks) in Apache Camel ermöglicht es einem Angreifer, der den XML-Nachrichtentext liefert, lokale Dateien zu lesen oder Anfragen an interne Netzwerkadressen zu stellen, indem er eine External-Entity-Deklaration in diesem Text deklariert. Dieses Problem betrifft Apache Camel: von 4.7.0 vor 4.18.5, von 4.19.0 vor 4.22.1. Das Smooks-Datenformat (.unmarshal().smooks(...)) und die Smooks-Komponente (smooks:) parsen den eingehenden XML-Text mit dem Reader, den Smooks standardmäßig auflöst, nämlich dem Woodstox-SAX-Parser. Dieser Reader löst externe allgemeine und Parameter-Entities auf und lädt externe DTDs, und camel-smooks wandte keine der Parser-Härtungen an, die die anderen Camel-XML-Komponenten anwenden. Eine DOCTYPE-Deklaration mit einer externen Teilmenge oder eine externe allgemeine Entity, die im XML-Dokument deklariert ist, wird daher während des Unmarshallings des Textes aufgelöst und expandiert, und der aufgelöste Inhalt wird in das unmarshallte Ergebnis eingebunden und auf InOut-Routen zurückgegeben. Ein externer Absender, dessen XML ein camel-smooks-Datenformat oder einen camel-smooks-Endpunkt erreicht, könnte daher Dateien lesen, die für den Camel-Prozess lesbar sind, und bewirken, dass der Prozess Anfragen an die im Dokument genannten Hosts stellt. Es ist keine von der Standardeinstellung abweichende Option erforderlich, da das Auflösen externer Entities das Standardverhalten war. Konfigurationen, die ihren eigenen Reader deklarieren – EDI, CSV, JSON oder einen benutzerdefinierten Reader – verwenden den XML-Reader nicht und sind nicht betroffen. Benutzern wird empfohlen, auf Version 4.18.5, 4.22.1 oder 4.23.0 zu aktualisieren, die das Problem behebt. Aktualisieren Sie auf Apache Camel 4.23.0, die das Problem behebt. Benutzer des 4.18.x-LTS-Release-Streams sollten auf 4.18.5 aktualisieren. Benutzer des 4.22.x-LTS-Release-Streams sollten auf 4.22.1 aktualisieren. camel-smooks parst den XML-Text nun mit einem javax.xml.parsers.DocumentBuilder, der weder externe allgemeine noch Parameter-Entities auflöst und keine externen DTDs lädt, und übergibt Smooks das resultierende Dokument, was der sicheren XML-Verarbeitungskonfiguration entspricht, die von org.apache.camel.converter.jaxp.XmlConverter und den anderen Camel-XML-Komponenten verwendet wird. Diese Härtung wird nur angewendet, wenn die Smooks-Konfiguration XML mit ihrem Standard-Reader parst, sodass EDI-, CSV-, JSON- und Custom-Reader-Konfigurationen sowie die Marshalling-Richtung unverändert bleiben. Eine neue Option allowExternalEntities, standardmäßig deaktiviert, stellt das vorherige Verhalten für vertrauenswürdige Legacy-Konfigurationen wieder her, die auf der Auflösung externer Entities beruhen. Der camel-4.14.x-Release-Stream und frühere erreichten das Ende ihrer Lebensdauer, bevor dieses Problem behoben wurde, und erhalten keinen Fix, sodass Bereitstellungen auf diesen Linien auf eine unterstützte Version wechseln müssen. Für Bereitstellungen, die nicht sofort aktualisieren können, wenden Sie camel-smooks nicht auf XML an, das von nicht vertrauenswürdigen Absendern empfangen wird.