CVE-2026-88901

Riepilogo

Vulnerabilità di Restrizione Impropria dei Riferimenti a Entità Esterne XML in Apache Camel. Questo problema interessa Apache Camel: dalla 4.7.0 precedente alla 4.18.5, dalla 4.19.0 precedente alla 4.22.1. La Restrizione Impropria dei Riferimenti a Entità Esterne XML nel componente Smooks (camel-smooks) in Apache Camel consente a un attaccante che fornisce il corpo del messaggio XML di leggere file locali o inviare richieste a posizioni della rete interna tramite una dichiarazione di entità esterna in quel corpo. Questo problema interessa Apache Camel: dalla 4.7.0 precedente alla 4.18.5, dalla 4.19.0 precedente alla 4.22.1. Il formato dati Smooks (.unmarshal().smooks(...)) e il componente Smooks (smooks:) analizzano il corpo XML in ingresso con il reader che Smooks risolve per impostazione predefinita, ovvero il parser SAX Woodstox. Quel reader risolve entità esterne generali e di parametro e carica DTD esterni, e camel-smooks non applicava nessuno dei rafforzamenti del parser che gli altri componenti XML di Camel applicano. Un DOCTYPE con un sottoinsieme esterno, o un'entità esterna generale, dichiarato nel documento XML viene quindi risolto ed espanso durante l'unmarshalling del corpo, e il contenuto risolto viene associato al risultato dell'unmarshalling e restituito sulle rotte InOut. Un mittente esterno il cui XML raggiunge un formato dati o un endpoint camel-smooks potrebbe quindi leggere file leggibili dal processo Camel e causare l'invio da parte del processo di richieste verso host indicati nel documento. Non è richiesta alcuna opzione non predefinita, poiché la risoluzione delle entità esterne era il comportamento predefinito. Le configurazioni che dichiarano un proprio reader - EDI, CSV, JSON o un reader personalizzato - non utilizzano il reader XML e non sono interessate. Si raccomanda agli utenti di aggiornare alla versione 4.18.5, 4.22.1 o 4.23.0, che corregge il problema. Aggiornare ad Apache Camel 4.23.0, che corregge il problema. Gli utenti sul flusso di rilascio LTS 4.18.x dovrebbero aggiornare alla 4.18.5. Gli utenti sul flusso di rilascio LTS 4.22.x dovrebbero aggiornare alla 4.22.1. camel-smooks ora analizza il corpo XML con un javax.xml.parsers.DocumentBuilder che non risolve entità esterne generali o di parametro e non carica DTD esterni, e consegna a Smooks il documento risultante, in linea con la configurazione sicura di elaborazione XML utilizzata da org.apache.camel.converter.jaxp.XmlConverter e dagli altri componenti XML di Camel. Questo rafforzamento viene applicato solo quando la configurazione di Smooks analizza XML con il suo reader predefinito, quindi le configurazioni EDI, CSV, JSON e con reader personalizzato, e la direzione di marshalling, restano invariate. Una nuova opzione allowExternalEntities, disabilitata per impostazione predefinita, ripristina il comportamento precedente per le configurazioni legacy fidate che si basano sulla risoluzione delle entità esterne. Il flusso di rilascio camel-4.14.x e precedenti ha raggiunto la fine del ciclo di vita prima che questo problema fosse risolto e non riceverà una correzione, quindi i deployment su quelle linee devono passare a una release supportata. Per i deployment che non possono aggiornare immediatamente, non applicare camel-smooks a XML ricevuto da mittenti non attendibili.