CVE-2026-66906

Beschreibung

Relative Path-Traversal-Anfälligkeit in der Apache Camel Azure Storage Blob-Komponente. Dieses Problem betrifft Apache Camel: von 4.0.0 vor 4.14.9, von 4.15.0 vor 4.18.4, von 4.19.0 vor 4.22.0. Die Kamel-Azure-Storage-Blob-Komponente kann einen Azure-Storage-Blob über ihre DownloadBlobToFile-Operation in das Verzeichnis herunterladen, das von der fileDir-Endpunktoption benannt wird, die sowohl vom Hersteller als auch vom Verbraucher als verwendbar dokumentiert wird. BlobOperations.downloadBlobToFile baute das lokale Ziel auf, indem es fileDir mit dem Remote-Blob-Namen genau so wie das Azure SDK es gemeldet hatte (neue Datei(fileDir, client.getBlobName())) und leitete das Ergebnis direkt an den SDK-Download-Aufruf weiter, ohne lexikalische Normalisierung und ohne Überprüfung, dass der aufgelöste Speicherort innerhalb von fileDir blieb. Der Blob-Name ist keine routengesteuerten Daten: Der Verbraucher listet den Container in BlobConsumer.createBatchExchangesFromContainer auf, der Blobs auflistet und einen Austausch pro Eintrag von BlobItem.getName() verbatim erstellt, wobei standardmäßig keine Namensfilterung angewendet wird. Ein Blob-Name, der Parent-Verzeichnis-Segmente enthält, wurde daher an einem Ort außerhalb der konfigurierten DateiDir aufgelöst, so dass jeder, der in der Lage ist, die Namen im verbrauchten Container zu beeinflussen, Camel veranlassen kann, eine Datei an einem Ort seiner Wahl mit den Privilegien des Camel-Prozesses zu erstellen oder zu überschreiben. Je nachdem, worauf der Prozess schreiben kann, kann das Überschreiben einer Datei außerhalb des Download-Verzeichnisses über den Verlust der Integrität dieser Datei hinaus eskalieren. Azure Storage-Blob-Container verwenden einen flachen Namensraum, in dem der Blob-Name ein undurchsichtiger Schlüssel ist, sodass ein Name, der solche Segmente trägt, als angegeben gespeichert und aufgeführt wird. Die fileDir-Option ist ein gewöhnlicher Konfigurationsparameter für gemeinsame Gruppen und trägt keinen Sicherheitsmarker, so dass den Benutzern nichts signalisiert wurde, dass sein Wert nicht als Eindämmungsgrenze durchgesetzt wurde. Camels andere datei-download-verbraucher - camel-file, camel-ftp, camel-smb, camel-mina-sftp und camel-azure-files - beschränkten ihre lokalen downloads bereits auf das konfigurierte verzeichnis mit einer pfadsegment-grenzungsüberprüfung; der camel-azure-storage-blob-download-pfad wurde von dieser arbeit nicht abgedeckt. Benutzern wird empfohlen, auf Version 4.22.0 zu aktualisieren, wodurch das Problem behoben wird. Wenn sich Benutzer auf dem 4.14.x LTS-Releases-Stream befinden, wird empfohlen, ein Upgrade auf 4.14.9 durchzuführen. Wenn Benutzer auf dem 4.18.x-Releases-Stream sind, wird empfohlen, ein Upgrade auf 4.18.4 durchzuführen. Für Bereitstellungen, die nicht sofort aktualisiert werden können, beschränken Sie die Namen, auf die der Verbraucher mit der Regex-Endpunktoption reagieren wird, die auf jeden aufgelisteten Blob-Namen als Vollzeichenfolge angewendet wird, so dass nur einfache Einzelsegmentnamen akzeptiert werden und jeder Name, der einen Pfadtrenner oder ein Parent-Verzeichnissegment trägt, herausgefiltert wird, bevor ein Austausch erstellt wird; Die Präfixoption kann die Listing-Serverseite zusätzlich eingrenzen und darauf hinweisen, dass, wenn beide gesetzt sind, Regex Vorrang hat und Präfix ignoriert wird. Alternativ vermeiden Sie die DownloadBlobToFile-Operation auf nicht vertrauenswürdigen c ..

Quellen & weiterführende Informationen

Hier werden ausschließlich tatsächlich zu dieser Schwachstelle gespeicherte Quellenbelege angezeigt.

Was ist zur Behebung zu tun?

Herstellerhinweise prüfen und das betroffene Produkt kurzfristig patchen oder kompensierende Schutzmaßnahmen aktivieren.

Empfohlene Schritte

• Betroffene Systeme identifizieren: Apache Software Foundation camel.
• Exposition prüfen: Internet-Erreichbarkeit, Admin-Oberflächen, VPN, Mail- oder Webdienste.
• Hersteller-Advisory öffnen und verfügbare Updates, Workarounds oder Deaktivierungen prüfen.
• Nacharbeiten dokumentieren: betroffene Assets, Maßnahme, Zeitpunkt, Restrestrisiko.

Übergangsmaßnahmen

• Zugriff auf betroffene Dienste auf vertrauenswürdige Netze einschränken.
• WAF/IDS/EDR-Regeln und Hersteller-IOCs aktivieren, sofern verfügbar.
• Nicht benötigte Funktionen, Plugins oder Dienste temporär deaktivieren.
• Administrative Zugänge besonders absichern: MFA, Passwortrotation, Session-Invalidierung.