oscerd/cve-2026-40047Reproducteur pour CVE-2026-40047 : injection d'arguments CLI / traversée de chemin dans camel-docling d'Apache Camel
Ce projet démontre une vulnérabilité d'injection d'arguments CLI et de contournement de chemin dans le composant camel-docling d'Apache Camel, suivie sous la référence CVE-2026-40047. DoclingProducer construit l'invocation de l'outil en ligne de commande externe docling à partir des en-têtes de message ; les arguments personnalisés fournis via l'en-tête CamelDoclingCustomArguments étaient ajoutés avec une validation insuffisante (une liste noire plus une vérification littérale de ../), de sorte qu'un attaquant qui influence ces en-têtes peut injecter des drapeaux CLI docling arbitraires et des valeurs de chemin avec traversée dans le sous-processus.
Avis de sécurité : https://camel.apache.org/security/CVE-2026-40047.html
| Propriété | Valeur |
|---|---|
| Composant | camel-docling |
| Classe affectée | org.apache.camel.component.docling.DoclingProducer (addCustomArguments / validateCustomArguments) |
| Cause racine | CamelDoclingCustomArguments (une List<String>) ajoutée aux arguments CLI de docling avec une liste noire faible + vérification littérale de ../ |
| CWE | CWE-88 (Injection d'arguments) / CWE-22 (Contournement de chemin) |
| Impact | Injection de drapeaux CLI docling arbitraires/non intentionnels et de valeurs de chemin hors répertoire dans l'outil externe. PAS d'injection de commandes OS (ProcessBuilder basé sur liste, sans shell). |
| Versions affectées | De 4.15.0 avant 4.18.3 |
| Versions corrigées | 4.18.3, 4.19.0 |
| JIRA | CAMEL-23212 |
| Rapporteur | Andrea Cosentino (Apache Software Foundation) |
DoclingProducer assemble l'invocation de docling et l'exécute via java.lang.ProcessBuilder (forme liste — pas de shell). Les arguments CLI personnalisés de l'en-tête CamelDoclingCustomArguments sont ajoutés à la commande :
// DoclingProducer.addCustomArguments(...) - version affectée
List<String> customArgs = exchange.getIn().getHeader(DoclingHeaders.CUSTOM_ARGUMENTS, List.class);
if (customArgs != null && !customArgs.isEmpty()) {
validateCustomArguments(customArgs); // liste noire + vérification littérale "../" (faible)
command.addAll(customArgs);
}
Dans les versions affectées, validateCustomArguments s'appuyait sur une liste noire de drapeaux interdits et ne rejetait que les valeurs de chemin contenant un ../ littéral. En conséquence :
docling.../ littéral (chemins absolus, ou séquences normalisées) ne sont pas détectées.Comme Camel construit l'invocation de docling, le composant est responsable de contraindre ces valeurs. Le correctif (CAMEL-23212) remplace la liste noire par une liste blanche stricte de drapeaux reconnus, rejette les drapeaux gérés par le producteur (--output/-o) et les métacaractères de shell (défense en profondeur), et normalise les valeurs de type chemin avec Path.normalize() avant validation.
L'invocation utilise la forme liste de
ProcessBuilder, donc un shell n'interprète pas les valeurs — l'injection de commandes OS via des métacaractères de shell n'est pas possible ; le rejet de métacaractères dans le correctif est une défense en profondeur.
from("direct:convert")
.to("docling:convert?operation=CONVERT_TO_MARKDOWN&contentInBody=true");
docling est un outil externe. Ce reproducteur fournit un docling factice (sur le PATH à l'intérieur du conteneur) qui enregistre les argv qu'il reçoit et écrit un fichier markdown en retour, de sorte que les arguments injectés sont visibles dans la réponse HTTP et dans /tmp/docling-invocations.log. Tout s'exécute dans une image Docker (application + factice) — donc aucune installation réelle de docling n'est nécessaire.
docling)mvn clean package -DskipTests
docker compose up -d --build
curl http://localhost:8080/exploit/normal
# le docling factice reçoit : docling --to md --ocr-lang en --output <tmp> /tmp/input.txt
curl "http://localhost:8080/exploit/attack"
# injecte CamelDoclingCustomArguments = [--injected-by-attacker, arbitrary-value]
# -> le docling factice reçoit :
# docling --injected-by-attacker arbitrary-value --to md --ocr-lang en --output <tmp> /tmp/input.txt
# une valeur de chemin sans ../ littéral (chemin absolu) passe également :
curl "http://localhost:8080/exploit/attack?flag=--artifacts-path&value=/etc/attacker-controlled"
Sur une version affectée (ce reproducteur épingle 4.18.2), la route réussit et les arguments injectés atteignent le sous-processus. Sur une version corrigée (4.18.3 / 4.19.0), la liste blanche rejette --injected-by-attacker avec une IllegalArgumentException et la route échoue.
docker compose down
CamelDoclingCustomArguments (ou les en-têtes contenant des chemins) d'un producteur docling:.Mettez à jour vers 4.18.3 / 4.19.0. Le correctif utilise une liste blanche stricte de drapeaux docling reconnus, rejette les drapeaux gérés par le producteur et les métacaractères de shell, et normalise les valeurs de chemin avec Path.normalize() avant de les valider.
En attendant la mise à jour :
CamelDoclingCustomArguments ou les en-têtes contenant des chemins.removeHeaders("Camel*")) des messages arrivant de producteurs non fiables avant le producteur docling:.CVE-2026-40047/
├── pom.xml
├── Dockerfile # app + stub 'docling' sur PATH
├── docker-compose.yml
├── docling-stub.sh # stub 'docling' (enregistre argv, écrit markdown)
├── README.md
└── src/main/
├── java/com/example/
│ ├── Application.java
│ ├── DoclingRoute.java # from(direct:convert).to(docling:convert)
│ └── ExploitController.java # injecte CamelDoclingCustomArguments
└── resources/
└── application.properties
Ce reproducteur est fourni uniquement pour la recherche en sécurité et les tests autorisés, pour une vulnérabilité publiquement divulguée et corrigée. Ne l'utilisez pas contre des systèmes sans autorisation explicite.