CVE-2026-90885

Zusammenfassung

Schwachstelle durch unsachgemäße Einschränkung von XML-External-Entity-Referenzen in der Apache-Camel-Saxon-Komponente. Dieses Problem betrifft Apache Camel: von 4.0.0 vor 4.18.5, von 4.19.0 vor 4.22.2. XQueryBuilder in camel-saxon, das Ausdrücke für die xquery-Sprache und die xquery-Komponente auswertet, erstellte seine Standard-Saxon-Konfiguration mit Parse-Optionen, die lediglich eine Whitespace-Stripping-Regel festlegten, wodurch der XML-Parser auf seinen Standardwerten blieb, unter denen eine DOCTYPE-Deklaration akzeptiert und externe Entities aufgelöst werden. Ein Nachrichtenkörper vom Typ String oder byte[] oder jeder als InputStream gelesene Körper wird zunächst durch Camels eigene XML-Typkonverter in eine javax.xml.transform.Source umgewandelt, die den Parser gegen externe Entities absichern, sodass diese Körper nicht betroffen waren. Ein Körper, der bereits eine Source war, wurde jedoch unverändert an Saxon übergeben, und wenn diese Source noch geparst werden musste, wie es bei einer streambasierten Source der Fall ist, parste Saxon sie mit dieser Konfiguration und umging damit den Schutz, der auf die anderen Körpertypen angewendet wurde. Ein solcher Körper entsteht beispielsweise, nachdem eine Route die Nachricht mit convertBodyTo(Source.class) konvertiert hat, oder wenn eine Komponente oder ein Prozessor früher in der Route den Körper auf eine streambasierte Source setzt. Eine DOCTYPE mit einer externen Teilmenge oder eine externe Entity, die in diesem Körper deklariert war, wurde daher aufgelöst und in das Dokument expandiert, gegen das der Ausdruck ausgewertet wurde. Ein externer Absender, dessen XML in dieser Form einen XQuery-Ausdruck oder einen xquery-Endpunkt erreicht, könnte Dateien lesen, die für den Camel-Prozess lesbar sind, und den Prozess dazu veranlassen, Anfragen an die im Dokument genannten Hosts zu senden. Es ist keine nicht standardmäßige Option erforderlich, da die Standard-Konfiguration verwendet wird, wann immer die Route keine eigene bereitstellt. Benutzern wird empfohlen, auf Version 4.23.0 zu aktualisieren, die das Problem behebt. Wenn Benutzer den Release-Zweig 4.22.x verwenden, wird ihnen empfohlen, auf 4.22.2 zu aktualisieren. Wenn Benutzer den Release-Zweig 4.18.x verwenden, wird ihnen empfohlen, auf 4.18.5 zu aktualisieren. Der Release-Zweig 4.14.x und früher sowie die Release-Linien 4.15.x bis 4.17.x und 4.19.x bis 4.21.x haben ihr End-of-Life erreicht, bevor dieses Problem behoben wurde, und erhalten keinen Fix, sodass Bereitstellungen auf diesen auf eine unterstützte Version wechseln müssen. Für Bereitstellungen, die nicht sofort aktualisieren können, sollten XQuery nicht über einen Nachrichtenkörper auswerten, der bereits eine javax.xml.transform.Source ist, wenn dieser Körper XML von einem nicht vertrauenswürdigen Absender enthält, oder die Konfigurationsoption des xquery-Endpunkts oder der xquery-Sprache auf eine Saxon-Konfiguration setzen, deren Parse-Optionen eine DOCTYPE-Deklaration ablehnen und externe Entities sowie das Laden externer DTDs deaktivieren, was die korrigierten Releases nun standardmäßig anwenden.