CVE-2026-60093

Beschreibung

Relative Path-Traversal-Anfälligkeit in der Apache Camel Azure-Storage Datalake-Komponente Dieses Problem betrifft Apache Camel: von 4.0.0 vor 4.14.9, von 4.15.0 vor 4.18.4, von 4.19.0 vor 4.22.0. Die Kamel-Azure-Storage-Datalake-Komponente kann eine Azure Data Lake Storage Gen2-Datei über die DownloadToFile-Operation in das lokale Dateisystem herunterladen und in das Verzeichnis schreiben, das von der fileDir-Endpunktoption benannt wird. DataLakeFileOperations.downloadToFile baute das lokale Ziel auf, indem es fileDir mit dem Remote-Pfadnamen genau so wie das Azure SDK es gemeldet hatte (neue Datei(fileDir, fileClientWrapper.getFileName())) und leitete das Ergebnis direkt an den SDK-Downloadaufruf weiter, ohne lexikalische Normalisierung und ohne Überprüfung, dass der aufgelöste Speicherort innerhalb von fileDir blieb. Der Remotename ist keine routengesteuerten Daten: Der Verbraucher zählt das Dateisystem in DataLakeConsumer.createBatchExchangesFromPath auf, das Pfade auflistet und einen Austausch pro Eintrag von PathItem.getName() verbatim erstellt, wobei standardmäßig keine Namensfilterung angewendet wird. Ein Pfadname, der Parent-Verzeichnis-Segmente enthält, wurde daher an einem Ort außerhalb der konfigurierten DateiDir aufgelöst, so dass jeder, der in der Lage ist, die Namen im verbrauchten Data Lake-Dateisystem zu beeinflussen, Camel veranlassen kann, eine Datei an einem Ort seiner Wahl mit den Privilegien des Camel-Prozesses zu erstellen oder zu überschreiben. Je nachdem, worauf der Prozess schreiben kann, kann das Überschreiben einer Datei außerhalb des Download-Verzeichnisses über den Verlust der Integrität dieser Datei hinaus eskalieren. Die fileDir-Option ist ein gewöhnlicher Konfigurationsparameter für gemeinsame Gruppen und trägt keinen Sicherheitsmarker, so dass den Benutzern nichts signalisiert wurde, dass sein Wert nicht als Eindämmungsgrenze durchgesetzt wurde. Camels andere datei-download-verbraucher - camel-file, camel-ftp, camel-smb, camel-mina-sftp und camel-azure-files - beschränkten ihre lokalen downloads bereits auf das konfigurierte verzeichnis mit einer pfadsegment-grenzungsüberprüfung; der camel-azure-storage-datalake-download-pfad wurde von dieser arbeit nicht abgedeckt. Benutzern wird empfohlen, auf Version 4.22.0 zu aktualisieren, wodurch das Problem behoben wird. Wenn sich Benutzer auf dem 4.14.x LTS-Releases-Stream befinden, wird empfohlen, ein Upgrade auf 4.14.9 durchzuführen. Wenn Benutzer auf dem 4.18.x-Releases-Stream sind, wird empfohlen, ein Upgrade auf 4.18.4 durchzuführen. Bei Bereitstellungen, die nicht sofort aktualisiert werden können, beschränken Sie die Namen, auf die der Verbraucher mit der Option regex-Endpunkt reagiert, die auf jeden aufgelisteten Pfadnamen als Vollzeichenfolge angewendet wird, so dass nur einfache Einzelsegmentnamen akzeptiert werden und jeder Name, der einen Pfadtrenner oder ein Parent-Verzeichnissegment trägt, herausgefiltert wird, bevor ein Austausch erstellt wird. Alternativ vermeiden Sie die DownloadToFile-Operation auf nicht vertrauenswürdigen Dateisystemen und schreiben Sie die Nutzlast von der Route unter einen Dateinamen, den die Route selbst steuert, anstatt einen aus der Fernauflistung. Behandeln Sie die Objektnamen in einem extern beschreibbaren Data Lake-Dateisystem als nicht vertrauenswürdige Eingabe und leiten Sie daraus keine lokalen Dateisystempfade ab.

Quellen & weiterführende Informationen

Hier werden ausschließlich tatsächlich zu dieser Schwachstelle gespeicherte Quellenbelege angezeigt.

Was ist zur Behebung zu tun?

Herstellerhinweise prüfen und das betroffene Produkt kurzfristig patchen oder kompensierende Schutzmaßnahmen aktivieren.

Empfohlene Schritte

• Betroffene Systeme identifizieren: Apache Software Foundation camel.
• Exposition prüfen: Internet-Erreichbarkeit, Admin-Oberflächen, VPN, Mail- oder Webdienste.
• Hersteller-Advisory öffnen und verfügbare Updates, Workarounds oder Deaktivierungen prüfen.
• Nacharbeiten dokumentieren: betroffene Assets, Maßnahme, Zeitpunkt, Restrestrisiko.

Übergangsmaßnahmen

• Zugriff auf betroffene Dienste auf vertrauenswürdige Netze einschränken.
• WAF/IDS/EDR-Regeln und Hersteller-IOCs aktivieren, sofern verfügbar.
• Nicht benötigte Funktionen, Plugins oder Dienste temporär deaktivieren.
• Administrative Zugänge besonders absichern: MFA, Passwortrotation, Session-Invalidierung.