Apache Camel Quarkus: XML External Entity Injection in XSLT-Support-Erweiterung

Zusammenfassung

Apache Camel Quarkus ab 3.2.0 bis vor 3.33.3 sowie ab 3.34.0 bis vor 3.40.0 setzt die Xalan-J-XSLT-Factory als JAXP-Standard ein, die die externen Zugriffsbeschränkungen von Camel stillschweigend ignoriert. Ein Angreifer, der das zu transformierende XML-Dokument liefert, kann über eine externe Entity-Deklaration lokale Dateien lesen oder Anfragen an interne Netzwerkziele senden. Betroffen sind Anwendungen mit camel-quarkus-xslt, camel-quarkus-xslt-saxon, camel-quarkus-tika oder camel-quarkus-xmlsecurity; auch Code, der TransformerFactory.newInstance() aufruft, ist exponiert.

Betroffen

• Apache Camel Quarkus ab 3.2.0 bis vor 3.33.3
• Apache Camel Quarkus ab 3.34.0 bis vor 3.40.0
• Artefakt: org.apache.camel.quarkus:camel-quarkus-support-xalan

Behoben in

• Apache Camel Quarkus 3.33.3 (3.33.x LTS-Linie)
• Apache Camel Quarkus 3.40.0

Umgehung

• Keine nicht vertrauenswürdige javax.xml.transform.Source an xslt-Endpunkte übergeben; den Body als String, byte[] oder InputStream belassen.
• convertBodyTo ist keine Workaround-Option, da die Konvertierung eine Identitätstransformation über dieselbe Factory durchführt.
• In Anwendungscode, der auf die JAXP-Einschränkungen angewiesen ist, die JDK-Implementierung explizit anfordern (com.sun.org.apache.xalan.internal.xsltc.trax.TransformerFactoryImpl).

Ausnutzung

• Keine bekannte Ausnutzung in freier Wildbahn; die Schwachstelle ist nicht im CISA-KEV-Katalog.
• Quellen widersprechen sich zu öffentlichem Proof-of-Concept-Code; ein öffentliches Reproduktions-Repository wird berichtet. Ein öffentlicher PoC ist als vorhanden anzunehmen.
• CISA SSVC: Ausnutzung keine, nicht automatisierbar, partielle technische Auswirkung.

Unsere Empfehlung

• Prüfen, ob Java-Projekte camel-quarkus-xslt, -xslt-saxon, -tika oder -xmlsecurity verwenden (pom.xml, build.gradle, Abhängigkeitsbaum).
• Betroffene Anwendungen auf 3.33.3 (LTS) oder 3.40.0 aktualisieren; bei Version 4.x zuerst den Migrationsleitfaden prüfen.
• Bis zur Aktualisierung untrusted XML an XSLT-Endpunkten einschränken oder validieren.
• Codebasis nach TransformerFactory.newInstance()-Aufrufen durchsuchen und sicherstellen, dass diese nicht auf die Einschränkungen angewiesen sind.
• Betroffene Dienste auf ungewöhnliche Dateizugriffe oder ausgehende Anfragen überwachen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

Links zu fremden Seiten, von uns nicht geprüft – Exploit-Code kann Schadsoftware enthalten. Nur in isolierten Testumgebungen verwenden.

• Proof of Concept auf GitHub (1 Repositories) iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).
  oscerd/CVE-2026-88789

Quellen der Recherche

• Apache Camel security advisory CVE-2026-88789 camel.apache.org
• Fix commit 9a570b6 (main) github.com
• Fix commit 9dd1177 (main) github.com
• Camel Quarkus issue 9115 github.com
• OSV entry CVE-2026-88789 osv.dev
• oss-security posting www.openwall.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 09:30.