CVE-2026-85250

Vulnerabilità Improper Restriction of XML External Entity Reference nel componente XPath di Apache Camel.

Questo problema riguarda Apache Camel: da 4.0.0 prima di 4.18.5, da 4.19.0 prima di 4.22.1.

Con documentType impostato su InputSource, XPathBuilder passava il payload direttamente a javax.xml.xpath, che costruiva un DocumentBuilder autonomo utilizzando le impostazioni di default del JDK. La protezione applicata al tipo di documento predefinito di Camel veniva quindi bypassata: una dichiarazione DOCTYPE che veniva rifiutata sul tipo predefinito veniva accettata qui, e l'entità esterna da essa dichiarata veniva risolta ed espansa nel documento valutato. Un mittente esterno la cui XML raggiungeva tale espressione poteva leggere file accessibili al processo Camel e causare l'invio di richieste verso host nominati. La differenza di configurazione tra i due tipi di documento, che influiva sulla configurazione del parser, rendeva questa vulnerabilità raggiungibile, poiché un deployment che sceglieva InputSource per motivi di streaming non aveva indicazioni di aver scelto anche un parser più debole.

Aggiornare a Apache Camel 4.23.0, che risolve il problema. Gli utenti delle versioni LTS 4.18.x devono aggiornare a 4.18.5. Gli utenti delle versioni LTS 4.22.x devono aggiornare a 4.22.1. Il tipo di documento InputSource ora utilizza lo stesso parser rinforzato del tipo predefinito, quindi una dichiarazione DOCTYPE viene rifiutata. Si segnala inoltre che condivide anche il meccanismo di escape documentato di quel tipo: le stesse proprietà di sistema DocumentBuilderFactory che rilassano il tipo predefinito lo fanno anche per questo, quindi un deployment che le ha impostate rimane non protetto per progettazione. Per i deployment che non possono aggiornare immediatamente, si consiglia di non usare documentType=InputSource nelle espressioni valutate su XML non affidabili; il tipo di documento predefinito già rifiuta una DOCTYPE.