CVE-2026-60093

Apache Camel Azure-Storage Datalake bileşeninde göreceli yol aşımı (relative path traversal) zafiyeti Bu sorun şu Apache Camel sürümlerini etkilemektedir: 4.0.0 ile 4.14.9 arası, 4.15.0 ile 4.18.4 arası ve 4.19.0 ile 4.22.0 arası. camel-azure-storage-datalake bileşeni, downloadToFile işlemi aracılığıyla bir Azure Data Lake Storage Gen2 dosyasını yerel dosya sistemine indirebilir ve bunu fileDir uç nokta seçeneği tarafından adlandırılan dizine yazabilir. DataLakeFileOperations.downloadToFile, yerel hedefi fileDir ile uzak yol adını tam olarak Azure SDK'nın bildirdiği şekilde birleştirerek oluşturur (new File(fileDir, fileClientWrapper.getFileName())) ve sonucu herhangi bir sözcük normalleştirmesi veya çözümlenen konumun fileDir içinde kaldığına dair bir kontrol yapmadan doğrudan SDK indirme çağrısına iletir. Uzak isim rota kontrollü veri değildir: tüketici, varsayılan olarak hiçbir isim filtrelemesi uygulamadan yolları listeleyen ve her giriş için PathItem.getName()'den olduğu gibi bir değişim oluşturan DataLakeConsumer.createBatchExchangesFromPath içerisinde dosya sistemini numaralandırır. Bu nedenle, üst dizin bölümleri içeren bir yol adı, yapılandırılmış fileDir dışındaki bir konuma çözümlenir ve tüketilen Data Lake dosya sistemindeki isimleri etkileyebilen herkesin, Camel sürecinin ayrıcalıklarıyla istedikleri bir konumda dosya oluşturmasına veya üzerine yazmasına olanak tanır. Sürecin nereye yazabildiğine bağlı olarak, indirme dizini dışındaki bir dosyanın üzerine yazılması, o dosyanın bütünlüğünün kaybının ötesinde yetki yükseltmeye yol açabilir. fileDir seçeneği sıradan bir ortak grup yapılandırma parametresidir ve herhangi bir güvenlik işareti taşımaz, bu nedenle değerinin bir sınırlama sınırı olarak uygulanmadığı kullanıcılara bildirilmemiştir. Camel'ın diğer dosya indirme tüketicileri - camel-file, camel-ftp, camel-smb, camel-mina-sftp ve camel-azure-files - yerel indirmelerini zaten bir yol bölümü sınır kontrolü kullanarak yapılandırılmış dizinle kısıtlamıştır; camel-azure-storage-datalake indirme yolu bu çalışma kapsamında yer almamıştır. Kullanıcıların sorunu gideren 4.22.0 sürümüne yükseltmeleri önerilir. Eğer kullanıcılar 4.14.x LTS yayın akışındaysa, 4.14.9 sürümüne yükseltmeleri önerilir. Kullanıcılar 4.18.x yayın akışındaysa, 4.18.4 sürümüne yükseltmeleri önerilir. Hemen yükseltme yapamayan dağıtımlar için, tüketicinin işlem yapacağı isimler regex uç nokta seçeneği kullanılarak kısıtlanmalıdır; bu seçenek listelenen her yol adına tam dize eşleşmesi olarak uygulanır, böylece yalnızca basit tek bölümlü isimler kabul edilir ve yol ayırıcı veya üst dizin bölümü içeren herhangi bir isim, bir değişim oluşturulmadan önce filtrelenir. Alternatif olarak, güvenilmeyen dosya sistemlerinde downloadToFile işleminden kaçınılmalı ve yük (payload), uzak listeden alınan bir dosya adı yerine rotanın kendisinin kontrol ettiği bir dosya adı altında yazılmalıdır. Derinlemesine savunma olarak, harici olarak yazılabilir herhangi bir Data Lake dosya sistemindeki nesne isimleri güvenilmeyen girdi olarak değerlendirilmeli ve bunlardan yerel dosya sistemi yolları türetilmemelidir.