CVE-2026-88901

सारांश

Apache Camel में XML External Entity Reference के अनुचित प्रतिबंध का भेद्यता। यह समस्या Apache Camel को प्रभावित करती है: 4.7.0 से 4.18.5 से पहले तक, 4.19.0 से 4.22.1 से पहले तक। Apache Camel में Smooks घटक (camel-smooks) में XML External Entity Reference के अनुचित प्रतिबंध एक हमलावर को, जो XML संदेश बॉडी प्रदान करता है, उस बॉडी में बाहरी एंटिटी घोषणा के माध्यम से स्थानीय फ़ाइलें पढ़ने या आंतरिक नेटवर्क स्थानों पर अनुरोध जारी करने की अनुमति देता है। यह समस्या Apache Camel को प्रभावित करती है: 4.7.0 से 4.18.5 से पहले तक, 4.19.0 से 4.22.1 से पहले तक। Smooks डेटा फ़ॉर्मेट (.unmarshal().smooks(...)) और Smooks घटक (smooks:) आने वाली XML बॉडी को उस रीडर से पार्स करते हैं जिसे Smooks डिफ़ॉल्ट रूप से हल करता है, जो Woodstox SAX पार्सर है। वह रीडर बाहरी सामान्य और पैरामीटर एंटिटी को हल करता है और बाहरी DTD लोड करता है, और camel-smooks ने अन्य Camel XML घटकों द्वारा लागू किए जाने वाले किसी भी पार्सर हार्डनिंग को लागू नहीं किया। इसलिए XML दस्तावेज़ में घोषित बाहरी सबसेट वाला DOCTYPE, या बाहरी सामान्य एंटिटी, बॉडी को अनमार्शल करते समय हल और विस्तारित किया जाता है, और हल की गई सामग्री अनमार्शल किए गए परिणाम में बाइंड हो जाती है और InOut रूट पर लौटा दी जाती है। इसलिए एक बाहरी प्रेषक जिसका XML किसी camel-smooks डेटा फ़ॉर्मेट या एंडपॉइंट तक पहुँचता है, Camel प्रक्रिया द्वारा पढ़ने योग्य फ़ाइलें पढ़ सकता है और प्रक्रिया को उन होस्ट्स पर अनुरोध जारी करने के लिए प्रेरित कर सकता है जिनका नाम दस्तावेज़ में है। किसी गैर-डिफ़ॉल्ट विकल्प की आवश्यकता नहीं है, क्योंकि बाहरी एंटिटी को हल करना डिफ़ॉल्ट व्यवहार था। जो कॉन्फ़िगरेशन अपना स्वयं का रीडर घोषित करते हैं - EDI, CSV, JSON, या कस्टम रीडर - वे XML रीडर का उपयोग नहीं करते और प्रभावित नहीं हैं। उपयोगकर्ताओं को संस्करण 4.18.5, 4.22.1 या 4.23.0 में अपग्रेड करने की सलाह दी जाती है, जो इस समस्या को ठीक करता है। Apache Camel 4.23.0 में अपग्रेड करें, जो इस समस्या को ठीक करता है। 4.18.x LTS रिलीज़ स्ट्रीम पर उपयोगकर्ताओं को 4.18.5 में अपग्रेड करना चाहिए। 4.22.x LTS रिलीज़ स्ट्रीम पर उपयोगकर्ताओं को 4.22.1 में अपग्रेड करना चाहिए। camel-smooks अब XML बॉडी को javax.xml.parsers.DocumentBuilder से पार्स करता है जो बाहरी सामान्य या पैरामीटर एंटिटी को हल नहीं करता और बाहरी DTD लोड नहीं करता, और परिणामी दस्तावेज़ Smooks को सौंपता है, जो org.apache.camel.converter.jaxp.XmlConverter और अन्य Camel XML घटकों द्वारा उपयोग किए जाने वाले सुरक्षित XML प्रोसेसिंग कॉन्फ़िगरेशन से मेल खाता है। यह हार्डनिंग केवल तब लागू होती है जब Smooks कॉन्फ़िगरेशन अपने डिफ़ॉल्ट रीडर से XML पार्स करता है, इसलिए EDI, CSV, JSON और कस्टम-रीडर कॉन्फ़िगरेशन, और मार्शलिंग दिशा, अपरिवर्तित हैं। एक नया allowExternalEntities विकल्प, जो डिफ़ॉल्ट रूप से अक्षम है, विश्वसनीय लेगेसी कॉन्फ़िगरेशन के लिए पिछले व्यवहार को बहाल करता है जो बाहरी एंटिटी रिज़ॉल्यूशन पर निर्भर करते हैं। camel-4.14.x रिलीज़ स्ट्रीम और उससे पहले के संस्करण इस समस्या के समाधान से पहले जीवन-चक्र के अंत तक पहुँच चुके हैं और उन्हें कोई फ़िक्स नहीं मिलेगा, इसलिए उन लाइनों पर तैनातियों को समर्थित रिलीज़ में स्थानांतरित होना चाहिए। जो तैनातियाँ तुरंत अपग्रेड नहीं कर सकतीं, उन्हें अविश्वसनीय प्रेषकों से प्राप्त XML पर camel-smooks लागू नहीं करना चाहिए।