CVE-2026-60093

Resumen

Vulnerabilidad de salto de ruta relativo en el componente Apache Camel Azure-Storage Datalake Este problema afecta a Apache Camel: desde 4.0.0 antes de 4.14.9, desde 4.15.0 antes de 4.18.4, desde 4.19.0 antes de 4.22.0. El componente camel-azure-storage-datalake puede descargar un archivo de Azure Data Lake Storage Gen2 al sistema de archivos local a través de su operación downloadToFile, escribiendo en el directorio nombrado por la opción de endpoint fileDir. DataLakeFileOperations.downloadToFile construyó el destino local uniendo fileDir con el nombre de ruta remoto exactamente como lo informó el SDK de Azure (new File(fileDir, fileClientWrapper.getFileName())) y pasó el resultado directamente a la llamada de descarga del SDK, sin normalización léxica y sin verificar que la ubicación resuelta permaneciera dentro de fileDir. El nombre remoto no es un dato controlado por la ruta: el consumidor enumera el sistema de archivos en DataLakeConsumer.createBatchExchangesFromPath, que lista rutas y crea un intercambio por entrada de PathItem.getName() textualmente, sin aplicar ningún filtro de nombre por defecto. Un nombre de ruta que contiene segmentos de directorio padre, por lo tanto, se resolvió en una ubicación fuera del fileDir configurado, permitiendo que cualquiera capaz de influir en los nombres presentes en el sistema de archivos de Data Lake consumido haga que Camel cree o sobrescriba un archivo en una ubicación de su elección, con los privilegios del proceso de Camel. Dependiendo de dónde pueda escribir el proceso, sobrescribir un archivo fuera del directorio de descarga puede escalar más allá de la pérdida de integridad de ese archivo. La opción fileDir es un parámetro de configuración común de grupo ordinario y no lleva ningún marcador de seguridad, por lo que nada indicaba a los usuarios que su valor no se estaba aplicando como un límite de contención. Otros consumidores de descarga de archivos de Camel - camel-file, camel-ftp, camel-smb, camel-mina-sftp y camel-azure-files - ya restringían sus descargas locales al directorio configurado utilizando una verificación de límite de segmento de ruta; la ruta de descarga de camel-azure-storage-datalake no estaba cubierta por ese trabajo. Se recomienda a los usuarios actualizar a la versión 4.22.0, que corrige el problema. Si los usuarios están en la rama de versiones LTS 4.14.x, se les sugiere actualizar a 4.14.9. Si los usuarios están en la rama de versiones 4.18.x, se les sugiere actualizar a 4.18.4. Para implementaciones que no pueden actualizarse inmediatamente, restrinja los nombres sobre los que actuará el consumidor utilizando la opción de endpoint regex, que se aplica a cada nombre de ruta listado como una coincidencia de cadena completa, de modo que solo se acepten nombres simples de un solo segmento y cualquier nombre que contenga un separador de ruta o un segmento de directorio padre se filtre antes de que se cree un intercambio. Alternativamente, evite la operación downloadToFile en sistemas de archivos no confiables y escriba la carga útil de la ruta bajo un nombre de archivo que la propia ruta controle, en lugar de uno tomado del listado remoto. Como defensa en profundidad, trate los nombres de objetos en cualquier sistema de archivos de Data Lake escribible externamente como entrada no confiable y no derive rutas de sistema de archivos locales a partir de ellos.