CVE-2026-88901

概要

Apache Camel における XML 外部エンティティ参照の不適切な制限に関する脆弱性。この問題は Apache Camel に影響します: 4.7.0 から 4.18.5 より前、4.19.0 から 4.22.1 より前。Apache Camel の Smooks コンポーネント（camel-smooks）における XML 外部エンティティ参照の不適切な制限により、XML メッセージ本文を提供する攻撃者が、その本文内の外部エンティティ宣言を介してローカルファイルを読み取ったり、内部ネットワーク上の場所へリクエストを発行したりすることが可能になります。この問題は Apache Camel に影響します: 4.7.0 から 4.18.5 より前、4.19.0 から 4.22.1 より前。Smooks データフォーマット（.unmarshal().smooks(...)）および Smooks コンポーネント（smooks:）は、受信した XML 本文を、Smooks がデフォルトで解決するリーダー、すなわち Woodstox SAX パーサーで解析します。このリーダーは外部の一般エンティティおよびパラメーターエンティティを解決し、外部 DTD を読み込みますが、camel-smooks は他の Camel XML コンポーネントが適用するパーサーハードニングを一切適用していませんでした。そのため、XML ドキュメント内で宣言された外部サブセットを持つ DOCTYPE、または外部一般エンティティは、本文のアンマーシャリング時に解決および展開され、解決された内容はアンマーシャリング結果にバインドされて InOut ルートで返されます。したがって、XML が camel-smooks データフォーマットまたはエンドポイントに到達する外部の送信者は、Camel プロセスが読み取り可能なファイルを読み取ったり、ドキュメントが指定するホストへプロセスにリクエストを発行させたりする可能性があります。外部エンティティの解決がデフォルトの動作であったため、非デフォルトのオプションは必要ありません。独自のリーダー（EDI、CSV、JSON、またはカスタムリーダー）を宣言する構成は XML リーダーを使用しないため、影響を受けません。ユーザーは、この問題を修正したバージョン 4.18.5、4.22.1、または 4.23.0 へのアップグレードを推奨されます。この問題を修正した Apache Camel 4.23.0 にアップグレードしてください。4.18.x LTS リリースストリームのユーザーは 4.18.5 にアップグレードしてください。4.22.x LTS リリースストリームのユーザーは 4.22.1 にアップグレードしてください。camel-smooks は現在、外部の一般エンティティやパラメーターエンティティを解決せず、外部 DTD も読み込まない javax.xml.parsers.DocumentBuilder で XML 本文を解析し、その結果得られたドキュメントを Smooks に渡します。これは org.apache.camel.converter.jaxp.XmlConverter および他の Camel XML コンポーネントが使用する安全な XML 処理構成と一致します。このハードニングは、Smooks 構成がデフォルトのリーダーで XML を解析する場合にのみ適用されるため、EDI、CSV、JSON、カスタムリーダーの構成、およびマーシャリング方向は変更されません。デフォルトで無効になっている新しい allowExternalEntities オプションは、外部エンティティの解決に依存する信頼済みのレガシー構成に対して以前の動作を復元します。camel-4.14.x リリースストリーム以前は、この問題が解決される前にサポート終了となっており、修正は提供されないため、これらのライン上のデプロイメントはサポート対象のリリースに移行する必要があります。直ちにアップグレードできないデプロイメントでは、信頼できない送信者から受信した XML に camel-smooks を適用しないでください。

ソース

• CVE-2026-88901PoC

  CVE-2026-88901（Apache Camel camel-smooks における XXE（CWE-611）脆弱性）を再現する実行可能な Spring Boot の概念実証。影響を受ける実行とパッチ適用済みの対照実行を含む。