CVE-2026-85250

Резюме

Уязвимость неправильного ограничения ссылок на внешние сущности XML (XXE) в компоненте Apache Camel XPath. Проблема затрагивает Apache Camel: с 4.0.0 до 4.18.5, с 4.19.0 до 4.22.1. При значении documentType, равном InputSource, XPathBuilder передавал полезную нагрузку напрямую в javax.xml.xpath, который создаёт собственный DocumentBuilder с использованием настроек JDK по умолчанию. Таким образом, защитные меры, применённые к типу документа по умолчанию в Camel, были обойдены: объявление DOCTYPE, которое отклоняется для типа по умолчанию, здесь принималось, а объявленная в нём внешняя сущность разрешалась и разворачивалась в вычисляемом документе. Внешний отправитель, чей XML достигает такого выражения, мог прочитать файлы, доступные процессу Camel, и заставить процесс отправлять запросы на указанные им хосты. Именно расхождение двух типов документов в конфигурации парсера сделало это возможным, поскольку развёртывание, выбравшее InputSource по причинам потоковой обработки, не имело никаких указаний на то, что оно также выбирает менее защищённый парсер. Обновитесь до Apache Camel 4.23.0, где эта проблема исправлена. Пользователям ветки LTS 4.18.x следует обновиться до 4.18.5. Пользователям ветки LTS 4.22.x следует обновиться до 4.22.1. Тип документа InputSource теперь проходит через тот же усиленно защищённый парсер, что и тип по умолчанию, поэтому DOCTYPE отклоняется. Обратите внимание, что он также наследует документированный обходной путь этого типа: те же системные свойства DocumentBuilderFactory, которые ослабляют защиту типа по умолчанию, ослабляют и этот, поэтому развёртывание, установившее их, по-прежнему остаётся незащищённым по замыслу. Для развёртываний, которые не могут обновиться немедленно, не используйте documentType=InputSource в выражениях, вычисляемых по недоверенному XML; тип документа по умолчанию уже отклоняет DOCTYPE.

Источники

• CVE-2026-85250PoC

  Рабочий proof-of-concept XXE для CVE-2026-85250 в Apache Camel camel-xpath (documentType=InputSource), с демонстрациями уязвимой и исправленной версий для Spring Boot и Quarkus.