CVE-2026-88901

Résumé

Vulnérabilité de restriction incorrecte des références d'entités externes XML dans Apache Camel. Ce problème affecte Apache Camel : de 4.7.0 avant 4.18.5, de 4.19.0 avant 4.22.1. La restriction incorrecte des références d'entités externes XML dans le composant Smooks (camel-smooks) d'Apache Camel permet à un attaquant qui fournit le corps du message XML de lire des fichiers locaux ou d'émettre des requêtes vers des emplacements du réseau interne via une déclaration d'entité externe dans ce corps. Ce problème affecte Apache Camel : de 4.7.0 avant 4.18.5, de 4.19.0 avant 4.22.1. Le format de données Smooks (.unmarshal().smooks(...)) et le composant Smooks (smooks:) analysent le corps XML entrant avec le lecteur que Smooks résout par défaut, à savoir l'analyseur SAX Woodstox. Ce lecteur résout les entités générales et de paramètre externes et charge les DTD externes, et camel-smooks n'appliquait aucun des durcissements de l'analyseur que les autres composants XML de Camel appliquent. Une DOCTYPE avec un sous-ensemble externe, ou une entité générale externe, déclarée dans le document XML est donc résolue et développée lors du démarshalling du corps, et le contenu résolu est lié au résultat démarshallé et renvoyé sur les routes InOut. Un expéditeur externe dont le XML atteint un format de données ou un point de terminaison camel-smooks pourrait donc lire les fichiers lisibles par le processus Camel et amener le processus à émettre des requêtes vers les hôtes nommés dans le document. Aucune option non par défaut n'est requise, puisque la résolution des entités externes était le comportement par défaut. Les configurations qui déclarent leur propre lecteur - EDI, CSV, JSON ou un lecteur personnalisé - n'utilisent pas le lecteur XML et ne sont pas affectées. Il est recommandé aux utilisateurs de mettre à niveau vers la version 4.18.5, 4.22.1 ou 4.23.0, qui corrige le problème. Mettez à niveau vers Apache Camel 4.23.0, qui corrige le problème. Les utilisateurs du flux de versions LTS 4.18.x doivent mettre à niveau vers 4.18.5. Les utilisateurs du flux de versions LTS 4.22.x doivent mettre à niveau vers 4.22.1. camel-smooks analyse désormais le corps XML avec un javax.xml.parsers.DocumentBuilder qui ne résout pas les entités générales ou de paramètre externes et ne charge pas les DTD externes, et transmet à Smooks le document résultant, correspondant à la configuration sécurisée de traitement XML utilisée par org.apache.camel.converter.jaxp.XmlConverter et les autres composants XML de Camel. Ce durcissement n'est appliqué que lorsque la configuration Smooks analyse le XML avec son lecteur par défaut, de sorte que les configurations EDI, CSV, JSON et à lecteur personnalisé, ainsi que la direction de marshalling, restent inchangées. Une nouvelle option allowExternalEntities, désactivée par défaut, restaure le comportement précédent pour les configurations héritées de confiance qui dépendent de la résolution des entités externes. Le flux de versions camel-4.14.x et les versions antérieures ont atteint leur fin de vie avant la résolution de ce problème et ne recevront pas de correctif, de sorte que les déploiements sur ces lignes doivent migrer vers une version prise en charge. Pour les déploiements qui ne peuvent pas être mis à niveau immédiatement, n'appliquez pas camel-smooks au XML reçu d'expéditeurs non fiables.