[!IMPORTANT] Ce rapport est intentionnellement nettoyé pour publication publique sur GitHub. Les identifiants sensibles, les identifiants, les valeurs d'infrastructure et les preuves spécifiques au client sont remplacés par des espaces réservés clairs.

🧭 Navigation rapide

• Résumé exécutif
• Analyse technique
• Impact
• Correction
• Leçons apprises et stratégie d'atténuation

[!TIP] Pour une revue rapide, commencez par les sections Résumé exécutif et Impact. Pour une profondeur technique, continuez dans Analyse technique et Correction.

🏷️ Titre

CVE-2026-40047 - Injection d'arguments CLI dans Apache Camel Docling

🧾 Executive Summary

ثغرة أمنية خطيرة من نوع حقن وسيطات الأوامر (Argument Injection) في مكون camel-docling الخاص بإطار عمل Apache Camel، تسمح لمهاجم بحقن وسيطات CLI غير مرغوب فيها وقيم مسارات متجاوزة (Path Traversal) إلى الأداة الخارجية docling.

تقع الثغرة في الصنف DoclingProducer حيث تقوم الدالة addCustomArguments بإلحاق قائمة الوسائط المخصصة CamelDoclingCustomArguments إلى أمر docling دون تحقق كافٍ. كان التحقق المعتمد على قائمة محظورة (Denylist) فقط مع فحص حرفي لـ ../، مما يسمح بتجاوز الوسائط غير المعروفة والمسارات المطلقة.

🔬 Technical Analysis

The weakness was assessed from an application-security and infrastructure-risk perspective. The core issue is classified as Argument Injection and was documented in a sanitized form suitable for public portfolio publication.

Apache Camel هو إطار تكامل قوي يستخدم على نطاق واسع في المؤسسات لربط الأنظمة المختلفة. مكون camel-docling يقوم باستدعاء الأداة الخارجية docling (أداة تحويل المستندات) عبر ProcessBuilder.

📊 Impact

Perte de confidentialité, d'intégrité ou de disponibilité selon l'exposition et le contexte commercial. Risque opérationnel accru et exposition réglementaire potentielle si des données sensibles sont traitées.

🛠️ Remediation

الإصلاح يستبدل الـ Denylist بـ قائمة مسموح بها (Allowlist) صارمة:

• فقط الأعلام المعترف بها مسموح بها
• رفض الأعلام التي يديرها المنتج (--output, -o)
• رفض رموز shell الخاصة (دفاع في العمق)
• تطبيع المسارات عبر Path.normalize() قبل التحقق

🧠 Lessons Learned & Mitigation Strategy

• Considérez chaque limite d'intégration comme non fiable, surtout lorsque la logique applicative transmet des valeurs contrôlées par l'utilisateur à des systèmes de fichiers, des shells, des analyseurs ou des outils externes.
• Les revues de sécurité devraient valider la chaîne d'exploitation complète, pas seulement le premier point de terminaison vulnérable ; des configurations erronées de faible gravité peuvent devenir critiques lorsqu'elles sont enchaînées.
• La documentation publique devrait décrire le risque, la cause première et les mesures correctives sans exposer les identifiants opérationnels, les informations d'identification ou les artefacts d'exploitation réutilisables.
• Les contrôles défensifs devraient combiner une validation préventive, un moindre privilège au moment de l'exécution, une télémétrie et une gouvernance des correctifs pour réduire à la fois l'exploitabilité et l'effet de souffle.

🧼 Notes de nettoyage pour publication

• Les identifiants d'infrastructure sensibles, les adresses IP, les noms d'hôtes, les informations d'identification, les hachages et les adresses e-mail ont été remplacés par des espaces réservés explicites.
• Les preuves opérationnelles réutilisables ont été minimisées ou abstraites pour garder le document adapté à la publication publique sur GitHub.
• Le document utilise une structure de style consultant alignée sur les pratiques courantes des rapports de tests de sécurité web, telles que les attentes de rapport OWASP WSTG.