CVE-2026-91858

요약

FopProducer는 TransformerFactory.newInstance()를 통해 javax.xml.transform.TransformerFactory를 생성하고 본문에 대해 identity 변환을 실행하기 전에 FEATURE_SECURE_PROCESSING만 활성화하여 수신되는 XSL-FO 메시지 본문을 변환합니다. JDK의 내장 transformer에서는 해당 기능만으로도 이미 accessExternalDTD 및 accessExternalStylesheet 제한이 비워지므로 외부 DTD나 엔티티는 거부됩니다. 애플리케이션이 camel-xslt-saxon 또는 camel-saxon도 사용하는 등의 이유로 Saxon-HE와 같은 타사 JAXP TransformerFactory가 클래스패스에 있는 경우, TransformerFactory.newInstance()는 대신 해당 구현을 반환하며, 그 구현에서는 FEATURE_SECURE_PROCESSING만으로는 외부 리소스 접근을 제한하지 않습니다. 이때 XSL-FO 문서에 선언된 외부 서브셋을 가진 DOCTYPE이나 외부 일반 엔티티는 본문이 변환되는 동안 해석되고 확장됩니다. XSL-FO가 fop producer에 도달하는 외부 발신자는 따라서 Camel 프로세스가 읽을 수 있는 파일을 읽고, 프로세스가 문서에 명시된 호스트로 요청을 보내도록 할 수 있습니다. camel-fop는 이러한 factory를 자체적으로 포함하지 않고 Xalan을 제외하므로, JDK transformer를 사용하는 기본 배포는 영향을 받지 않습니다. 이 문제는 다른 컴포넌트가 대체 JAXP TransformerFactory를 클래스패스에 배치한 경우에만 도달할 수 있습니다. 4.14.x 라인 및 그 이전의 릴리스는 이 문제가 해결되기 전에 지원 종료에 도달했으며 수정 사항을 받지 않습니다.

소스

• CVE-2026-91858PoC

  CVE-2026-91858에 대한 실행 가능한 Spring Boot 및 Quarkus 재현 프로그램으로, 서드파티 TransformerFactory를 통한 Apache Camel camel-fop의 XXE 취약점이며, 취약 버전과 패치 버전 검증을 포함합니다.