CVE-2026-79985

Apache Camel SMB komponentində məhdudlaşdırılmış kataloga yol adının yanlış məhdudlaşdırılması ('Path Traversal') zəifliyi aşkar edilmişdir. Bu problem Apache Camel-in aşağıdakı versiyalarına təsir edir: 4.2.0-dan 4.18.5-ə qədər və 4.19.0-dan 4.22.1-ə qədər olan versiyalar. Camel remote-file istehlakçıları uzaq serverdəki kataloqu yoxlayır və konfiqurasiya edilmiş kataloqu serverin kataloq siyahısında göstərilən fayl adı ilə birləşdirərək hər bir faylın mütləq uzaq yolunu qururlar. Bu birləşdirmə (FtpUtils.absoluteFilePath və GenericFileConsumer) leksik normallaşdırma tətbiq etmir və nəticənin yoxlanılan kataloqun daxilində qaldığını yoxlamırdı. Nəticədə alınan yol fayl üzərindəki bütün növbəti uzaq əməliyyatlar üçün operand olurdu: götürmə (GenericFileConsumer vasitəsilə çatılan FtpOperations.retrieveFile / SftpOperations, burada götürülmə adı GenericFile.getAbsoluteFilePath-dən olduğu kimi götürülür), delete=true olduqda silmə (GenericFileDeleteProcessStrategy) və move, preMove, moveFailed və ya readLock=rename konfiqurasiya edildikdə adlandırma (GenericFileProcessStrategySupport və GenericFileRenameExclusiveReadLockStrategy). Nə isValidFile, nə də isMatched heç bir ehtiva yoxlaması aparmırdı. Buna görə də, tək yol seqmenti olmayan siyahı yazısı konfiqurasiya edilmiş yoxlama kataloqunun xaricindəki yola yönəlirdi və bu, Camel-in endpoint-in öz etibarnamələrini istifadə edərək onun xaricindəki faylları oxumasına, silməsinə və ya adlandırmasına səbəb olurdu. Siyahı adı marşrutla idarə olunan məlumat deyil. O, uzaq server tərəfindən təmin edilir və FTP idarəetmə kanalı heç bir bütövlük mühafizəsinə malik deyil, buna görə də yolda olan hücumçu heç bir etibarnaməyə sahib olmadan LIST cavabını yenidən yaza bilər; kompromisə uğramış, zərərli və ya çoxistifadəçili server, yaxud virtual fayl sistemi ilə dəstəklənən server belə bir adı birbaşa ötürə bilər. Götürmə prosesi standart istehlakçı konfiqurasiyasında əlçatandır, çünki uzaq istehlakçılar siyahıya alınmış hər bir faylı yükləyirlər; silmə və adlandırma əlavə olaraq yuxarıda qeyd olunan dispozisiya seçimlərindən birini tələb edir ki, bunların hamısı geniş yayılmışdır. Camel-in yoxlamaq üçün konfiqurasiya etdiyi kataloqdan çıxış şərtsizdir, lakin serverin öz hesab sərhədindən çıxış əlavə olaraq həmin serverin hesabı məhdudlaşdırıb-məhdudlaşdırmamasından asılıdır. Camel-i başlanğıc kataloqla məhdudlaşdırdığı sənədləşdirilmiş və standart olaraq aktiv olan jailStartingDirectory seçimi producer yazmalarını və localWorkDirectory ehtiva işindən sonra istehlakçı yükləmələrini yerli iş kataloquna tənzimləyirdi - lakin o, bu uzaq operanda məhdudiyyət qoymurdu, buna görə də onun adı və təsviri burada tətbiq edilməyən bir sərhədi iddia edirdi. Eyni giriş nöqtəsi artıq lokal tərəfdə tanınmışdı: localWorkDirectory yükləmə yolu elə məhdudlaşdırılmışdı ki, valideyn kataloq seqmentləri ehtiva edən uzaq fayl adı yerli iş kataloqunun xaricində həll oluna bilməsin. Uzaq operand həmin səthin qalan yarısını təşkil edirdi. Bu artefakt smb sxemini təmin edir. Onun istehlakçısı RemoteFileConsumer vasitəsilə deyil, paylaşılan siyahını müstəqil şəkildə gəzir və yalnız dəqiq "." və ".." yazılarını ötürür, buna görə də hər hansı digər formada traverzal seqmentləri daşıyan ad yoxlanılmadan birləşdirilirdi. Buna nail olmaq üçün tək yol seqmenti olmayan siyahı adı ötürən server tələb olunur ki, standart SMB2 implementasiyası bunu etmir; boşluq bu sxemə qarşı nümayiş etdirilmiş konsept sübutundan (PoC) ziyadə, digər remote-file istehlakçıları ilə eyni əsasda düzəldildi. Problemi aradan qaldıran Apache Camel 4.23.0 versiyasına yüksəldin. 4.22.x buraxılış axınındakı istifadəçilər 4.22.1 versiyasına yüksəltməlidirlər. 4.18.x LTS buraxılış axınındakı istifadəçilər 4.18.5 versiyasına yüksəltməlidirlər. 4.14.x axını ömrünün sonuna çatmışdır və bu düzəlişi almır; həmin versiyadakı istifadəçilər dəstəklənən buraxılış axınlarına keçməlidirlər.