Apache Camel Fixes Multiple Vulnerabilities Including High-Severity XXE One’s
2026/10/27 CyberSecurityNews — Apache Camel プロジェクトが公開したのは、ローカル・ファイルの漏えいや内部システムへのアクセスにつながる可能性がある、深刻度の高い XML 外部エンティティ (XXE) の脆弱性を含む、複数のセキュリティ上の欠陥に対する修正である。これらの問題は、複数のコンポーネントで安全でない XML 処理を引き起こし、リモートコード実行、認証情報の窃取、アクセス制御の不備などのリスクをもたらす。
Apache のセキュリティ・アドバイザリには、影響を受ける各リリース系列の修正済みバージョンが記載されている。修正対象は Camel の複数のコンポーネントにまたがるものであり、実際の影響はアプリケーションが使用するコンポーネントや設定に応じて異なる。
すべての Camel アプリケーションが、同じリスクにさらされていると判断すべきではなく、個々のアドバイザリと導入済みのバージョンを照合する必要がある。また、複数の脆弱性における悪用の前提として、攻撃者が制御するメッセージが、特定の処理経路に到達することが条件となる。
重要な問題の 1つである脆弱性 CVE-2026-90885 は、Camel-Saxon に影響する。すでに javax.xml.transform.Source オブジェクトとして表現されているメッセージ本文を、XQueryBuilder は Saxon のデフォルト・パーサ設定を使用して処理していた。これにより、XML 本文内で宣言された外部エンティティが解決され、その処理経路に XXE の脆弱性が生じる。
Apache の Camel-Saxon アドバイザリによると、この問題は Camel-XPath に存在する脆弱性 CVE-2026-85250 とは別のものである。XPath の脆弱性は、JDK のデフォルト設定を使用して独自のパーサを構築するエンジンにペイロードが渡される場合に発生するが、その影響は documentType=InputSource の設定に応じたものになる。
そのため、デフォルトの文書タイプでは、ブロックされるべき XML 宣言が、別の処理経路を通じて受け入れられる可能性がある。
Apache Camel の複数の脆弱性
2件目の深刻度の高い問題である脆弱性 CVE-2026-88901 は、Camel-Smooks に影響する。デフォルトの XML リーダーは、外部一般エンティティと外部パラメータ・エンティティを解決し、外部文書型定義 (DTD) を読み込む。
その結果として、攻撃者が制御する XML メッセージにより、ローカル・ファイルの読み取りや、内部ホストへの接続が行われる可能性がある。また、Camel-FOP においても、特定のサードパーティ製 XML トランスフォーマー実装が存在する場合に発生する、安全でない処理に起因する深刻度 Medium の XXE の脆弱性が修正された。
今回の広範なアップデートには、Camel-JGroups に存在する、安全でない Java デシリアライズ処理に起因する深刻度の高い脆弱性 CVE-2026-88900 の修正も含まれている。この脆弱性は、リモートコード実行につながる可能性がある。
もう 1件の深刻度の高い問題である脆弱性 CVE-2026-78165 は、Camel-Spring-Redis に影響する。サブスクライブされているチャネルにメッセージを発行できる攻撃者により、オブジェクト入力フィルターを備えていないデフォルトのデシリアライザが悪用される可能性がある。
Camel-HTTP にも、深刻度の高い認証情報漏えいの脆弱性 CVE-2026-85251 が存在する。followRedirects が有効になっている場合に、コンポーネントはリダイレクト先として指定された宛先にも Authorization ヘッダーを付加していた。それにより、リモートサーバが認証情報の送信先を指定できる状態になっている。その他の修正では、OAuth の認証バイパスや Keycloak のトークン検証に関する問題にも対処されている。
今回の発見に先立ち、Apache Camel のヘッダー・インジェクションや、Tomcat と Camel の脆弱性を標的とする攻撃も報告されていた。ただし、これらの報告は、過去の別の脆弱性に関するものであり、今回新たに公表された脆弱性が実際に悪用されていることを示す証拠として扱うべきではない。
Saxon の脆弱性について、Apache はバージョン 4.18.5／4.22.2／4.23.0 で修正したと説明している。その一方で、XPath および Smooks の脆弱性は、バージョン 4.18.5／4.22.1／4.23.0 で修正されている。
アップグレードを実施する組織にとって必要なことは、バージョン 4.22.1 への更新だけで対応を完了せず、その後に公開された Saxon の修正も考慮することである。パッチ適用を計画する際には、導入済みの XML 関連コンポーネント／メッセージの入力経路／リダイレクト設定を確認することが重要となる。
特に、1つのアプリケーションに複数の Camel ライブラリが組み込まれている場合は、Apache が公開しているコンポーネントごとの影響バージョン範囲を使用し、必要な修正がすべて適用されていることを確認する必要がある。
この記事は、統合フレームワークである Apache Camel におけるデータ処理制御の不備について解説するものです。解析処理時の外部データ構造の誤処理や逆シリアル化時の検証欠如、認証情報の転送制御不良が背景に存在します。影響として、内部情報の露出／サーバ内での不正なコード実行／システム権限の不正奪取が生じる恐れがあります。対応策として、最新の修正版ライブラリへの変更／入力メッセージ検証の強化／転送ヘッダーの制御設定見直しが求められます。
You must be logged in to post a comment.