CVE-2026-88901

Apache Camel-də XML Xarici Entitet İstinadının yanlış məhdudlaşdırılması zəifliyi. Bu problem Apache Camel-in aşağıdakı versiyalarına təsir edir: 4.7.0-dan 4.18.5-ə qədər və 4.19.0-dan 4.22.1-ə qədər. Apache Camel-dəki Smooks komponentində (camel-smooks) XML Xarici Entitet İstinadının yanlış məhdudlaşdırılması, XML mesaj gövdəsini təmin edən hücumçuya həmin gövdədəki xarici entitet bəyanatı vasitəsilə lokal faylları oxumağa və ya daxili şəbəkə ünvanlarına sorğular göndərməyə imkan verir. Bu problem Apache Camel-in bu versiyalarını əhatə edir: 4.7.0-dan 4.18.5-ə qədər və 4.19.0-dan 4.22.1-ə qədər. Smooks məlumat formatı (.unmarshal().smooks(...)) və Smooks komponenti (smooks:) gələn XML gövdəsini standart olaraq Smooks tərəfindən təyin edilən Woodstox SAX parser ilə analiz edir. Həmin reader xarici ümumi və parametr entitetlərini həll edir və xarici DTD-ləri yükləyir; camel-smooks digər Camel XML komponentlərinin tətbiq etdiyi parser möhkəmləndirmələrindən heç birini tətbiq etməmişdir. Buna görə də, XML sənədində bəyan edilmiş xarici alt çoxluqlu DOCTYPE və ya xarici ümumi entitet gövdə unmarshal edilərkən həll edilir və genişləndirilir, həll olunmuş məzmun isə unmarshal nəticəsinə bağlanır və InOut marşrutlarında geri qaytarılır. Beləliklə, XML-i camel-smooks məlumat formatına və ya son nöqtəsinə çatdıran xarici göndərəndən Camel prosesi tərəfindən oxuna bilən faylları oxumaq və prosesin sənəddə göstərilən hostlara sorğular göndərməsinə səbəb olmaq mümkündür. Xarici entitetlərin həlli standart davranış olduğu üçün heç bir qeyri-standart seçim tələb olunmur. Öz reader-ini bəyan edən konfiqurasiyalar — EDI, CSV, JSON və ya xüsusi reader — XML reader-dən istifadə etmir və buna təsir edilmir. İstifadəçilərə problemi aradan qaldıran 4.18.5, 4.22.1 və ya 4.23.0 versiyasına yüksəltmə etmək tövsiyə olunur. Problemi aradan qaldıran Apache Camel 4.23.0 versiyasına yüksəltmə edin. 4.18.x LTS versiyalarında olan istifadəçilər 4.18.5-ə, 4.22.x LTS versiyalarında olan istifadəçilər isə 4.22.1-ə yüksəltmə etməlidirlər. Artıq camel-smooks XML gövdəsini xarici ümumi və ya parametr entitetlərini həll etməyən və xarici DTD-ləri yükləməyən javax.xml.parsers.DocumentBuilder ilə analiz edir və nəticə sənədini Smooks-a ötürür ki, bu da org.apache.camel.converter.jaxp.XmlConverter və digər Camel XML komponentləri tərəfindən istifadə edilən təhlükəsiz XML emalı konfiqurasiyasına uyğundur. Bu möhkəmləndirmə yalnız Smooks konfiqurasiyası XML-i öz standart reader-i ilə analiz etdikdə tətbiq olunur, buna görə də EDI, CSV, JSON və xüsusi-reader konfiqurasiyaları, habelə marshalling istiqaməti dəyişməz qalır. Standart olaraq söndürülmüş yeni allowExternalEntities seçimi, xarici entitetlərin həllinə güvənən etibarlı köhnə konfiqurasiyalar üçün əvvəlki davranışı bərpa edir. camel-4.14.x və daha əvvəlki versiya axınları bu problem həll edilməzdən əvvəl həyat dövrünün sonuna (end of life) çatmışdır və düzəliş almayacaq, buna görə də həmin versiyalardakı tətbiqlər dəstəklənən versiyaya keçməlidir. Təcili yüksəltmə edə bilməyən tətbiqlər üçün etibarsız göndərənlərdən alınan XML-lərə camel-smooks tətbiq etməyin.