CVE-2026-91858

概要

FopProducerは、`TransformerFactory.newInstance()`を通じて`javax.xml.transform.TransformerFactory`を作成し、ボディに対して恒等変換を実行する前に`FEATURE_SECURE_PROCESSING`のみを有効化することで、受信したXSL-FOメッセージボディを変換します。JDKの組み込みトランスフォーマーでは、この機能だけで`accessExternalDTD`および`accessExternalStylesheet`の制限が空になるため、外部DTDやエンティティは拒否されます。サードパーティ製のJAXP `TransformerFactory`（例えばSaxon-HE）がクラスパス上にある場合、例えばアプリケーションがcamel-xslt-saxonやcamel-saxonも使用している場合、`TransformerFactory.newInstance()`はその実装を返し、`FEATURE_SECURE_PROCESSING`だけではその実装の外部リソースアクセスを制限しません。その場合、XSL-FOドキュメント内で宣言された外部サブセットを持つDOCTYPEや外部一般エンティティは、ボディの変換中に解決・展開されます。XSL-FOがfopプロデューサーに到達する外部送信者は、それによってCamelプロセスが読み取り可能なファイルを読み取ったり、プロセスにドキュメントが指定するホストへのリクエストを発行させたりする可能性があります。camel-fop自体はそのようなファクトリーを持ち込まず、Xalanを除外しているため、JDKトランスフォーマーを使用するデフォルトのデプロイは影響を受けません。この問題は、別のコンポーネントが代替のJAXP `TransformerFactory`をクラスパス上に配置している場合にのみ到達可能です。4.14.x系以前のリリースは、この問題が解決される前にサポート終了となっており、修正は提供されません。

ソース

• CVE-2026-91858PoC

  CVE-2026-91858（サードパーティ製TransformerFactoryを経由したApache Camel camel-fopのXXE）の再現可能なSpring BootおよびQuarkusの再現プログラム。影響を受けるバージョンと修正済みバージョンの検証を含む。