CVE-2026-88901

Resumen

Vulnerabilidad de restricción inadecuada de referencias a entidades externas XML en Apache Camel. Este problema afecta a Apache Camel: desde 4.7.0 antes de 4.18.5, desde 4.19.0 antes de 4.22.1. La restricción inadecuada de referencias a entidades externas XML en el componente Smooks (camel-smooks) de Apache Camel permite a un atacante que proporciona el cuerpo del mensaje XML leer archivos locales o emitir solicitudes a ubicaciones de la red interna mediante una declaración de entidad externa en ese cuerpo. Este problema afecta a Apache Camel: desde 4.7.0 antes de 4.18.5, desde 4.19.0 antes de 4.22.1. El formato de datos Smooks (.unmarshal().smooks(...)) y el componente Smooks (smooks:) analizan el cuerpo XML entrante con el lector que Smooks resuelve por defecto, que es el analizador SAX Woodstox. Ese lector resuelve entidades generales y de parámetro externas y carga DTD externos, y camel-smooks no aplicaba ninguna de las medidas de endurecimiento del analizador que aplican los demás componentes XML de Camel. Por lo tanto, un DOCTYPE con un subconjunto externo, o una entidad general externa, declarado en el documento XML se resuelve y expande mientras se desmarshaliza el cuerpo, y el contenido resuelto se vincula al resultado desmarshalizado y se devuelve en las rutas InOut. Un remitente externo cuyo XML llegue a un formato de datos o endpoint de camel-smooks podría, por tanto, leer archivos legibles por el proceso de Camel y provocar que el proceso emita solicitudes a los hosts que el documento nombre. No se requiere ninguna opción no predeterminada, ya que la resolución de entidades externas era el comportamiento predeterminado. Las configuraciones que declaran su propio lector —EDI, CSV, JSON o un lector personalizado— no utilizan el lector XML y no se ven afectadas. Se recomienda a los usuarios actualizar a la versión 4.18.5, 4.22.1 o 4.23.0, que corrige el problema. Actualice a Apache Camel 4.23.0, que corrige el problema. Los usuarios de la rama de versiones LTS 4.18.x deben actualizar a 4.18.5. Los usuarios de la rama de versiones LTS 4.22.x deben actualizar a 4.22.1. camel-smooks ahora analiza el cuerpo XML con un javax.xml.parsers.DocumentBuilder que no resuelve entidades generales ni de parámetro externas y no carga DTD externos, y entrega a Smooks el documento resultante, coincidiendo con la configuración segura de procesamiento XML utilizada por org.apache.camel.converter.jaxp.XmlConverter y los demás componentes XML de Camel. Este endurecimiento se aplica solo cuando la configuración de Smooks analiza XML con su lector predeterminado, por lo que las configuraciones EDI, CSV, JSON y de lector personalizado, así como la dirección de marshalling, no cambian. Una nueva opción allowExternalEntities, deshabilitada por defecto, restaura el comportamiento anterior para configuraciones heredadas de confianza que dependen de la resolución de entidades externas. La rama de versiones camel-4.14.x y anteriores alcanzaron el fin de su ciclo de vida antes de que se resolviera este problema y no recibirán una corrección, por lo que las implementaciones en esas líneas deben pasar a una versión compatible. Para las implementaciones que no puedan actualizar de inmediato, no aplique camel-smooks a XML recibido de remitentes no confiables.