CVE-2026-79983

Apache Camel FTP bileşeninde kısıtlanmış bir dizine yönelik yol adının uygun şekilde sınırlandırılmaması ('Path Traversal') zafiyeti bulunmaktadır. Bu sorun şu Apache Camel sürümlerini etkilemektedir: 4.0.0 ile 4.18.5 arası ve 4.19.0 ile 4.22.1 arası. Camel remote-file tüketicileri, uzak bir sunucudaki dizini sorgular ve yapılandırılmış dizini, sunucunun dizin listesinde bildirilen dosya adı ile birleştirerek her dosyanın mutlak uzak yolunu oluşturur. Bu birleştirme işlemi (FtpUtils.absoluteFilePath ve GenericFileConsumer), sözcük düzeyinde normalleştirme uygulamamış ve sonucun sorgulanan dizinin içinde kaldığını kontrol etmemiştir; sonuç olarak ortaya çıkan yol, dosya üzerindeki tüm sonraki uzak işlemler için işlenen değer haline gelmiştir: geri alma (GenericFileConsumer üzerinden erişilen FtpOperations.retrieveFile / SftpOperations, burada geri alma adı doğrudan GenericFile.getAbsoluteFilePath üzerinden alınır), delete=true olduğunda silme (GenericFileDeleteProcessStrategy) ve move, preMove, moveFailed veya readLock=rename yapılandırıldığında yeniden adlandırma (GenericFileProcessStrategySupport ve GenericFileRenameExclusiveReadLockStrategy). Ne isValidFile ne de isMatched herhangi bir kapsama kontrolü gerçekleştirmemiştir. Bu nedenle, tek bir yol segmentinden oluşmayan bir liste girişi, yapılandırılan sorgulama dizininin dışındaki bir yola çözümlenmiş ve bunun sonucunda Camel'ın uç noktanın kendi kimlik bilgilerini kullanarak bu dizinin dışındaki dosyaları okumasına, silmesine veya yeniden adlandırmasına neden olmuştur. Bir liste adı rota kontrollü veri değildir. Uzak sunucu tarafından sağlanır ve FTP kontrol kanalı hiçbir bütünlük koruması taşımaz, dolayısıyla ağ yolu üzerindeki bir saldırgan herhangi bir kimlik bilgisine sahip olmadan bir LIST yanıtını yeniden yazabilir; ele geçirilmiş, kötü niyetli veya çok kiracılı bir sunucu ya da sanal bir dosya sistemiyle desteklenen bir sunucu böyle bir adı doğrudan yayınlayabilir. Geri alma işlemi varsayılan tüketici yapılandırmasında erişilebilirdir çünkü uzak tüketiciler listelenen her dosyayı indirir; silme ve yeniden adlandırma işlemleri ise ek olarak yukarıdaki yerleşim seçeneklerinden birini gerektirir ki bunların tamamı yaygındır. Camel'ın sorgulamak üzere yapılandırıldığı dizinden çıkış koşulsuzdur, ancak sunucunun kendi hesap sınırlarından çıkış, ek olarak o sunucunun hesabı kısıtlayıp kısıtlamadığına bağlıdır. Varsayılan olarak etkin olan ve Camel'ı başlangıç diziniyle kısıtladığı belirtilen jailStartingDirectory seçeneği, üretici yazmalarını ve localWorkDirectory kapsama çalışmasından beri yerel çalışma dizinine yapılan tüketici indirmelerini yönetiyordu; ancak bu uzak işleneni kısıtlamıyordu, bu nedenle ismi ve açıklaması burada uygulanmayan bir sınırı iddia ediyordu. Aynı giriş noktası yerel tarafta zaten tanımlanmıştı: localWorkDirectory indirme yolu, üst dizin segmentleri içeren bir uzak dosya adının yerel çalışma dizininin dışında çözümlenemeyeceği şekilde kısıtlanmıştı. Uzak işleneni, bu yüzeyin kalan yarısını oluşturuyordu. Bu artefakt, tamamı etkilenen ftp, ftps ve sftp şemalarını sağlar. Bildiren kişi, LIST yanıtında sorgulanan dizinin dışında bir dosya adı belirten kötü niyetli bir sunucuyla bir Camel rotasını yönlendirerek sorunu bir ftp uç noktasına karşı uçtan uca kanıtlamıştır. Sorunu gideren Apache Camel 4.23.0 sürümüne yükseltin. 4.22.x sürümleri akışındaki kullanıcılar 4.22.1 sürümüne yükseltmelidir. 4.18.x LTS sürümleri akışındaki kullanıcılar 4.18.5 sürümüne yükseltmelidir. 4.14.x akışı ömrünü tamamlamıştır ve bu düzeltmeyi almamaktadır; bu sürümü kullanan kullanıcılar desteklenen bir sürüm akışına geçmelidir.