CVE-2026-85250

Riepilogo

Vulnerabilità di Improper Restriction of XML External Entity Reference nel componente XPath di Apache Camel. Il problema riguarda Apache Camel: dalla 4.0.0 precedente alla 4.18.5, dalla 4.19.0 precedente alla 4.22.1. Con documentType impostato su InputSource, XPathBuilder passava il payload direttamente a javax.xml.xpath, che costruisce un proprio DocumentBuilder utilizzando i valori predefiniti del JDK. L'hardening applicato al tipo di documento predefinito di Camel veniva quindi aggirato: una dichiarazione DOCTYPE rifiutata sul tipo predefinito veniva accettata in questo caso, e l'entità esterna da essa dichiarata veniva risolta ed espansa nel documento valutato. Un mittente esterno il cui XML raggiunge un'espressione di questo tipo potrebbe leggere file leggibili dal processo Camel e indurre il processo a effettuare richieste verso host da esso indicati. È il disaccordo tra i due tipi di documento sulla configurazione del parser a rendere il problema raggiungibile, poiché un deployment che sceglieva InputSource per motivi di streaming non aveva alcuna indicazione del fatto che stava anche scegliendo un parser più debole. Aggiornare ad Apache Camel 4.23.0, che risolve il problema. Gli utenti del ramo LTS 4.18.x devono aggiornare alla 4.18.5. Gli utenti del ramo LTS 4.22.x devono aggiornare alla 4.22.1. Il tipo di documento InputSource ora passa attraverso lo stesso parser rafforzato del tipo predefinito, quindi una DOCTYPE viene rifiutata. Si noti che condivide anche la valvola di sfogo documentata di quel tipo: le stesse proprietà di sistema DocumentBuilderFactory che allentano il tipo predefinito allentano anche questo, quindi un deployment che le ha impostate rimane non protetto per scelta progettuale. Per i deployment che non possono aggiornare immediatamente, non utilizzare documentType=InputSource su espressioni valutate su XML non attendibile; il tipo di documento predefinito rifiuta già una DOCTYPE.

Fonti

• CVE-2026-85250PoC

  Proof-of-concept eseguibile di XXE per CVE-2026-85250 in Apache Camel camel-xpath (documentType=InputSource), con demo interessate e corrette per Spring Boot e Quarkus.