CVE-2026-88901

요약

Apache Camel의 XML 외부 엔티티 참조 부적절한 제한 취약점. 이 문제는 Apache Camel에 영향을 미칩니다: 4.7.0부터 4.18.5 이전, 4.19.0부터 4.22.1 이전. Apache Camel의 Smooks 컴포넌트(camel-smooks)에서 XML 외부 엔티티 참조를 부적절하게 제한함으로써, XML 메시지 본문을 제공하는 공격자가 해당 본문의 외부 엔티티 선언을 통해 로컬 파일을 읽거나 내부 네트워크 위치로 요청을 보낼 수 있습니다. 이 문제는 Apache Camel에 영향을 미칩니다: 4.7.0부터 4.18.5 이전, 4.19.0부터 4.22.1 이전. Smooks 데이터 포맷(.unmarshal().smooks(...))과 Smooks 컴포넌트(smooks:)는 수신 XML 본문을 Smooks가 기본적으로 확인하는 리더, 즉 Woodstox SAX 파서로 파싱합니다. 해당 리더는 외부 일반 엔티티와 파라미터 엔티티를 확인하고 외부 DTD를 로드하며, camel-smooks는 다른 Camel XML 컴포넌트들이 적용하는 파서 강화 조치를 전혀 적용하지 않았습니다. 따라서 XML 문서에 선언된 외부 서브셋을 가진 DOCTYPE 또는 외부 일반 엔티티는 본문이 언마샬링되는 동안 확인 및 확장되고, 확인된 콘텐츠는 언마샬링된 결과에 바인딩되어 InOut 라우트에서 반환됩니다. 따라서 XML이 camel-smooks 데이터 포맷이나 엔드포인트에 도달하는 외부 발신자는 Camel 프로세스가 읽을 수 있는 파일을 읽고, 프로세스가 문서에 명시된 호스트로 요청을 보내도록 할 수 있습니다. 외부 엔티티 확인이 기본 동작이었으므로 기본값이 아닌 옵션은 필요하지 않습니다. 자체 리더를 선언하는 구성(EDI, CSV, JSON 또는 사용자 정의 리더)은 XML 리더를 사용하지 않으므로 영향을 받지 않습니다. 사용자는 이 문제를 수정한 버전 4.18.5, 4.22.1 또는 4.23.0으로 업그레이드할 것을 권장합니다. 이 문제를 수정한 Apache Camel 4.23.0으로 업그레이드하십시오. 4.18.x LTS 릴리스 스트림 사용자는 4.18.5로 업그레이드해야 합니다. 4.22.x LTS 릴리스 스트림 사용자는 4.22.1로 업그레이드해야 합니다. camel-smooks는 이제 외부 일반 엔티티나 파라미터 엔티티를 확인하지 않고 외부 DTD를 로드하지 않는 javax.xml.parsers.DocumentBuilder로 XML 본문을 파싱하고, 그 결과 문서를 Smooks에 전달하여 org.apache.camel.converter.jaxp.XmlConverter 및 다른 Camel XML 컴포넌트가 사용하는 보안 XML 처리 구성과 일치시킵니다. 이 강화 조치는 Smooks 구성이 기본 리더로 XML을 파싱할 때만 적용되므로, EDI, CSV, JSON 및 사용자 정의 리더 구성과 마샬링 방향은 변경되지 않습니다. 기본적으로 비활성화된 새로운 allowExternalEntities 옵션은 외부 엔티티 확인에 의존하는 신뢰할 수 있는 레거시 구성을 위해 이전 동작을 복원합니다. camel-4.14.x 릴리스 스트림 및 그 이전 버전은 이 문제가 해결되기 전에 지원이 종료되었으며 수정 사항을 받지 못하므로, 해당 라인의 배포는 지원되는 릴리스로 이동해야 합니다. 즉시 업그레이드할 수 없는 배포의 경우, 신뢰할 수 없는 발신자로부터 수신한 XML에 camel-smooks를 적용하지 마십시오.

소스

• CVE-2026-88901PoC

  Apache Camel camel-smooks의 XXE(CWE-611) 취약점인 CVE-2026-88901을 재현하는 실행 가능한 Spring Boot 개념 증명으로, 취약 버전과 패치 버전의 대조 실행을 포함합니다.