CVE-2026-85250

概要

Apache Camel XPathコンポーネントにおけるXML外部エンティティ参照の不適切な制限に関する脆弱性。この問題はApache Camelに影響します: 4.0.0から4.18.5より前、4.19.0から4.22.1より前。documentTypeをInputSourceに設定すると、XPathBuilderはペイロードを直接javax.xml.xpathに渡し、javax.xml.xpathはJDKのデフォルト設定を使用して独自のDocumentBuilderを構築していました。そのため、Camelのデフォルトのdocument typeに適用されていた強化策がバイパスされました: デフォルトのtypeでは拒否されるDOCTYPE宣言がここでは受け入れられ、宣言された外部エンティティが解決されて評価対象のドキュメントに展開されました。XMLがそのような式に到達する外部の送信者は、Camelプロセスが読み取り可能なファイルを読み取ったり、プロセスに指定したホストへのリクエストを発行させたりする可能性がありました。この問題が到達可能になったのは、2つのdocument typeの間でパーサー設定が異なっていたためです。ストリーミング上の理由からInputSourceを選択したデプロイメントは、より弱いパーサーも同時に選択していることに気づく手がかりがありませんでした。この問題を修正するApache Camel 4.23.0にアップグレードしてください。4.18.x LTSリリースストリームのユーザーは4.18.5にアップグレードしてください。4.22.x LTSリリースストリームのユーザーは4.22.1にアップグレードしてください。InputSource document typeはデフォルトのtypeと同じ強化されたパーサーを経由するようになったため、DOCTYPEは拒否されます。なお、このtypeはデフォルトのtypeが持つ文書化されたエスケープハッチも共有していることに注意してください: デフォルトのtypeを緩和するのと同じDocumentBuilderFactoryシステムプロパティがこのtypeも緩和するため、それらを設定したデプロイメントは設計上保護されないままです。直ちにアップグレードできないデプロイメントでは、信頼できないXMLに対して評価される式でdocumentType=InputSourceを使用しないでください。デフォルトのdocument typeはすでにDOCTYPEを拒否します。

ソース

• CVE-2026-85250PoC

  Apache Camel camel-xpath（documentType=InputSource）における CVE-2026-85250 の実行可能な XXE 概念実証。Spring Boot と Quarkus の影響を受けるデモと修正済みデモを含む。