CVE-2026-90885

Резюме

Уязвимость неправильного ограничения ссылки на внешнюю сущность XML в компоненте Apache Camel Saxon. Эта проблема затрагивает Apache Camel: с 4.0.0 до 4.18.5, с 4.19.0 до 4.22.2. XQueryBuilder в camel-saxon, который вычисляет выражения для языка xquery и компонента xquery, создавал свою конфигурацию Saxon по умолчанию с параметрами синтаксического анализа, задающими только правило удаления пробелов, оставляя XML-парсер в состоянии по умолчанию, при котором объявление DOCTYPE принимается и внешние сущности разрешаются. Тело сообщения типа String или byte[], либо любое тело, читаемое как InputStream, сначала преобразуется в javax.xml.transform.Source собственными преобразователями типов XML в Camel, которые настраивают парсер на защиту от внешних сущностей, поэтому такие тела не были затронуты. Однако тело, которое уже было Source, передавалось в Saxon без изменений, и когда этот Source всё ещё требовал синтаксического анализа, как это происходит с Source на основе потока, Saxon анализировал его с этой конфигурацией, обходя защиту, применяемую к другим типам тел. Такое тело возникает, например, после того как маршрут преобразует сообщение с помощью convertBodyTo(Source.class), или когда компонент или процессор ранее в маршруте устанавливает тело в Source на основе потока. Таким образом, DOCTYPE с внешним подмножеством или внешняя сущность, объявленные в этом теле, разрешались и разворачивались в документ, против которого вычислялось выражение. Внешний отправитель, чей XML достигает выражения XQuery или конечной точки xquery в такой форме, мог читать файлы, доступные процессу Camel, и заставлять процесс отправлять запросы на хосты, указанные в документе. Никакая опция, отличная от значения по умолчанию, не требуется, поскольку конфигурация по умолчанию используется всякий раз, когда маршрут не предоставляет свою собственную. Пользователям рекомендуется обновиться до версии 4.23.0, которая исправляет эту проблему. Если пользователи находятся на ветке выпусков 4.22.x, им рекомендуется обновиться до 4.22.2. Если пользователи находятся на ветке выпусков 4.18.x, им рекомендуется обновиться до 4.18.5. Ветка выпусков 4.14.x и более ранние, а также линейки выпусков с 4.15.x по 4.17.x и с 4.19.x по 4.21.x достигли окончания срока поддержки до того, как эта проблема была решена, и не получат исправления, поэтому развёртывания на них должны перейти на поддерживаемый выпуск. Для развёртываний, которые не могут обновиться немедленно, не вычисляйте XQuery над телом сообщения, которое уже является javax.xml.transform.Source, когда это тело содержит XML от недоверенного отправителя, или установите параметр конфигурации конечной точки или языка xquery в конфигурацию Saxon, параметры синтаксического анализа которой отклоняют объявление DOCTYPE и отключают внешние сущности и загрузку внешних DTD, что теперь применяется по умолчанию в исправленных выпусках.