Apache Camel: обработка внешних сущностей XML в Camel-Smooks, внешние сущности разрешаются по умолчанию
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:LНизкий · следующие 30 дней
EPSS – это статистическая оценка, а не достоверность или мера воздействия. Объедините это с CVSS, статусом KEV, воздействием и вашей средой.
Уязвимость неправильного ограничения ссылок на внешние сущности XML в Apache Camel. Проблема затрагивает Apache Camel: с 4.7.0 до 4.18.5, с 4.19.0 до 4.22.1. Неправильное ограничение ссылок на внешние сущности XML в компоненте Smooks (camel-smooks) в Apache Camel позволяет злоумышленнику, предоставляющему тело XML-сообщения, читать локальные файлы или отправлять запросы к внутренним сетевым ресурсам через объявление внешней сущности в этом теле. Проблема затрагивает Apache Camel: с 4.7.0 до 4.18.5, с 4.19.0 до 4.22.1. Формат данных Smooks (.unmarshal().smooks(...)) и компонент Smooks (smooks:) разбирают входящее тело XML с помощью ридера, который Smooks использует по умолчанию, а именно SAX-парсера Woodstox. Этот ридер разрешает внешние общие и параметрические сущности и загружает внешние DTD, а camel-smooks не применял никаких мер усиления безопасности парсера, которые применяют другие XML-компоненты Camel. Таким образом, DOCTYPE с внешним подмножеством или внешняя общая сущность, объявленные в XML-документе, разрешаются и раскрываются во время демаршалинга тела, а разрешённое содержимое привязывается к результату демаршалинга и возвращается в маршрутах InOut. Поэтому внешний отправитель, чей XML достигает формата данных или эндпоинта camel-smooks, может читать файлы, доступные для чтения процессу Camel, и заставлять процесс отправлять запросы к хостам, указанным в документе. Никакая опция, отличная от значения по умолчанию, не требуется, поскольку разрешение внешних сущностей было поведением по умолчанию. Конфигурации, которые объявляют собственный ридер — EDI, CSV, JSON или пользовательский ридер — не используют XML-ридер и не затронуты. Пользователям рекомендуется обновиться до версии 4.18.5, 4.22.1 или 4.23.0, в которых исправлена проблема. Обновитесь до Apache Camel 4.23.0, в которой исправлена проблема. Пользователям ветки LTS-релизов 4.18.x следует обновиться до 4.18.5. Пользователям ветки LTS-релизов 4.22.x следует обновиться до 4.22.1. Теперь camel-smooks разбирает тело XML с помощью javax.xml.parsers.DocumentBuilder, который не разрешает внешние общие или параметрические сущности и не загружает внешние DTD, и передаёт Smooks полученный документ, что соответствует конфигурации безопасной обработки XML, используемой org.apache.camel.converter.jaxp.XmlConverter и другими XML-компонентами Camel. Это усиление безопасности применяется только тогда, когда конфигурация Smooks разбирает XML с помощью своего ридера по умолчанию, поэтому конфигурации EDI, CSV, JSON и пользовательских ридеров, а также направление маршалинга остаются без изменений. Новая опция allowExternalEntities, отключённая по умолчанию, восстанавливает прежнее поведение для доверенных устаревших конфигураций, которые полагаются на разрешение внешних сущностей. Ветка релизов camel-4.14.x и более ранние достигли конца жизненного цикла до того, как эта проблема была решена, и не получат исправления, поэтому развёртывания на этих ветках должны перейти на поддерживаемый релиз. Для развёртываний, которые не могут обновиться немедленно, не применяйте camel-smooks к XML, полученному от недоверенных отправителей.
Запускаемый proof-of-concept на Spring Boot, воспроизводящий CVE-2026-88901 — уязвимость XXE (CWE-611) в Apache Camel camel-smooks, с контрольными запусками уязвимой и исправленной версий.
Используйте информацию об уязвимостях только в тех системах, которыми вы владеете или имеете право тестировать. Kitploit ссылается на метаданные общедоступных исследований и не хранит код эксплойта или вредоносные полезные данные.