CVE-2026-79984

概要

Apache Camel Mina SFTPコンポーネントにおける、パス名の制限ディレクトリへの不適切な制限（「パストラバーサル」）の脆弱性。この問題はApache Camelに影響します: 4.18.0から4.18.5より前、4.19.0から4.22.1より前。Camelのリモートファイルコンシューマーは、リモートサーバー上のディレクトリをポーリングし、設定されたディレクトリとサーバーのディレクトリ一覧で報告されたファイル名を連結して、各ファイルの絶対リモートパスを構築します。この連結（FtpUtils.absoluteFilePathおよびGenericFileConsumer）は、字句的な正規化も、結果がポーリング対象のディレクトリ内に留まるかどうかのチェックも行っておらず、結果として得られたパスは、そのファイルに対する後続のすべてのリモート操作のオペランドとなりました: 取得（FtpOperations.retrieveFile / SftpOperations、GenericFileConsumerから到達し、取得名はGenericFile.getAbsoluteFilePathからそのまま取得される）、delete=true時の削除（GenericFileDeleteProcessStrategy）、およびmove、preMove、moveFailedまたはreadLock=renameが設定されている場合のリネーム（GenericFileProcessStrategySupportおよびGenericFileRenameExclusiveReadLockStrategy）。isValidFileもisMatchedも、包含チェックを一切行いませんでした。したがって、単一のパスセグメントではない一覧エントリは、設定されたポーリングディレクトリ外のパスに解決され、Camelはエンドポイント自身の認証情報を使用して、そのディレクトリ外のファイルを読み取り、削除、またはリネームすることになりました。一覧の名前はルート制御されたデータではありません。それはリモートサーバーによって提供されるものであり、FTP制御チャネルには整合性保護が一切ないため、経路上の攻撃者は認証情報を一切持たずにLIST応答を書き換えることができます。侵害された、悪意のある、またはマルチテナントのサーバー、あるいは仮想ファイルシステムに支えられたサーバーは、そのような名前を直接出力できます。取得はデフォルトのコンシューマー設定で到達可能です。なぜならリモートコンシューマーは一覧に載ったすべてのファイルをダウンロードするからです。削除とリネームはさらに上記のいずれかの処理オプションを必要とし、それらはいずれも一般的です。Camelがポーリングするよう設定されたディレクトリからの脱出は無条件ですが、サーバー自身のアカウント境界からの脱出は、そのサーバーがアカウントを閉じ込めているかどうかにも依存します。jailStartingDirectoryオプションは、Camelを開始ディレクトリに制限すると文書化されており、デフォルトで有効になっていますが、プロデューサーの書き込みと、localWorkDirectoryの包含作業以降はローカル作業ディレクトリへのコンシューマーのダウンロードを制御していましたが、このリモートオペランドを制約していなかったため、その名前と説明はここでは強制されていない境界を主張していました。同じエントリポイントはローカル側ですでに認識されていました: localWorkDirectoryのダウンロードパスは、親ディレクトリのセグメントを含むリモートファイル名がローカル作業ディレクトリ外に解決できないように制約されていました。リモートオペランドは、その表面の残りの半分でした。この成果物はmina-sftpスキームを提供します。これは代替のSFTP実装であり、そのコンシューマーは同じRemoteFileConsumer基底クラスから派生しているため、同じ制約のない解決を継承していました。Apache Camel 4.23.0にアップグレードしてください。これにより問題が修正されます。4.22.xリリースストリームのユーザーは4.22.1にアップグレードしてください。4.18.x LTSリリースストリームのユーザーは4.18.5にアップグレードしてください。4.14.xストリームはサポート終了に達しており、この修正を受け取りません。そのユーザーはサポートされているリリースストリームに移行してください。

ソース

• CVE-2026-79984PoC

  CVE-2026-79984（Apache Camel camel-mina-sftp におけるパストラバーサル）の実行可能な概念実証（PoC）再現ツール。悪意ある SFTP サーバーフィクスチャと、影響を受けるビルド／修正済みビルドを備えています。