CVE-2026-88901

Resumo

Vulnerabilidade de Restrição Imprópria de Referência a Entidade Externa XML no Apache Camel. Este problema afeta o Apache Camel: de 4.7.0 até antes de 4.18.5, de 4.19.0 até antes de 4.22.1. A Restrição Imprópria de Referência a Entidade Externa XML no componente Smooks (camel-smooks) do Apache Camel permite que um atacante que forneça o corpo da mensagem XML leia arquivos locais ou emita requisições para locais da rede interna por meio de uma declaração de entidade externa nesse corpo. Este problema afeta o Apache Camel: de 4.7.0 até antes de 4.18.5, de 4.19.0 até antes de 4.22.1. O formato de dados Smooks (.unmarshal().smooks(...)) e o componente Smooks (smooks:) analisam o corpo XML recebido com o leitor que o Smooks resolve por padrão, que é o parser SAX Woodstox. Esse leitor resolve entidades gerais e de parâmetro externas e carrega DTDs externos, e o camel-smooks não aplicava nenhum dos endurecimentos de parser que os outros componentes XML do Camel aplicam. Um DOCTYPE com um subconjunto externo, ou uma entidade geral externa, declarado no documento XML é, portanto, resolvido e expandido durante o unmarshalling do corpo, e o conteúdo resolvido é vinculado ao resultado do unmarshalling e retornado em rotas InOut. Um remetente externo cujo XML chegue a um formato de dados ou endpoint camel-smooks poderia, portanto, ler arquivos legíveis pelo processo do Camel e fazer com que o processo emitisse requisições para hosts nomeados no documento. Nenhuma opção não padrão é necessária, pois a resolução de entidades externas era o comportamento padrão. Configurações que declaram seu próprio leitor — EDI, CSV, JSON ou um leitor personalizado — não usam o leitor XML e não são afetadas. Recomenda-se que os usuários atualizem para a versão 4.18.5, 4.22.1 ou 4.23.0, que corrige o problema. Atualize para o Apache Camel 4.23.0, que corrige o problema. Usuários do fluxo de versões LTS 4.18.x devem atualizar para 4.18.5. Usuários do fluxo de versões LTS 4.22.x devem atualizar para 4.22.1. O camel-smooks agora analisa o corpo XML com um javax.xml.parsers.DocumentBuilder que não resolve entidades gerais ou de parâmetro externas e não carrega DTDs externos, e entrega ao Smooks o documento resultante, correspondendo à configuração segura de processamento XML usada por org.apache.camel.converter.jaxp.XmlConverter e pelos outros componentes XML do Camel. Esse endurecimento é aplicado apenas quando a configuração do Smooks analisa XML com seu leitor padrão, portanto configurações de EDI, CSV, JSON e leitor personalizado, bem como a direção de marshalling, permanecem inalteradas. Uma nova opção allowExternalEntities, desabilitada por padrão, restaura o comportamento anterior para configurações legadas confiáveis que dependem da resolução de entidades externas. O fluxo de versões camel-4.14.x e anteriores atingiu o fim de vida antes que este problema fosse resolvido e não receberá correção, portanto implantações nessas linhas devem migrar para uma versão suportada. Para implantações que não podem atualizar imediatamente, não aplique o camel-smooks a XML recebido de remetentes não confiáveis.