Apache Camel camel-smooks: XML External Entity Processing (XXE)
Zusammenfassung
Das Datenformat und die Komponente camel-smooks in Apache Camel verarbeiten eingehende XML-Nachrichten standardmässig mit einem Parser, der externe Entitäten auflöst und externe DTDs lädt. Ein externer Absender, der den XML-Nachrichtenkörper liefern kann, kann eine externe Entität deklarieren, um lokale Dateien zu lesen, die der Camel-Prozess lesen darf, oder Anfragen an interne Hosts auszulösen. Eine Gefährdung besteht nur, wenn eine Route camel-smooks mit XML von nicht vertrauenswürdigen Absendern verwendet; EDI-, CSV-, JSON- und Konfigurationen mit eigenem Reader sind nicht betroffen.
Betroffen
- Apache Camel 4.7.0 bis vor 4.18.5
- Apache Camel 4.19.0 bis vor 4.22.1
- Nur Routen, die das Smooks-Datenformat oder die Smooks-Komponente mit XML-Eingaben verwenden
Behoben in
- Apache Camel 4.18.5 (4.18.x LTS)
- Apache Camel 4.22.1 (4.22.x LTS)
- Apache Camel 4.23.0
Umgehung
- camel-smooks nicht auf XML anwenden, das von nicht vertrauenswürdigen Absendern stammt.
- Camel 4.14.x und früher sind End of Life und erhalten keinen Fix; auf eine unterstützte Version migrieren.
Ausnutzung
- Keine bestätigte Ausnutzung in freier Wildbahn gefunden.
- Ein öffentlicher Proof-of-Concept-Reproducer existiert.
- CISA SSVC: Exploitation none, Automatable yes, Technical Impact partial.
Unsere Empfehlung
- Prüfen, ob Camel-Routen camel-smooks verwenden und XML von externen Absendern annehmen.
- Auf 4.18.5, 4.22.1 oder 4.23.0 aktualisieren, je nach Version; Internet-exponierte Routen und Partnerschnittstellen priorisieren.
- Bis zum Patch camel-smooks aus Routen entfernen, die nicht vertrauenswürdiges XML verarbeiten.
- Deployments auf 4.14.x oder älter auf eine unterstützte Version migrieren.
- Logs auf ungewöhnliche ausgehende Anfragen und Dateizugriffe des Camel-Prozesses überwachen.
Öffentliche Exploits
Links zu fremden Seiten, von uns nicht geprüft – Exploit-Code kann Schadsoftware enthalten. Nur in isolierten Testumgebungen verwenden.
- Proof of Concept auf GitHub (1 Repositories)
oscerd/CVE-2026-88901
Quellen der Recherche
- Apache Camel security advisory CVE-2026-88901 camel.apache.org
- Pull Request #26270 (main fix) github.com
- Pull Request #26327 (4.22.x backport) github.com
- Pull Request #26329 (4.18.x backport) github.com
- JIRA CAMEL-24677 issues.apache.org
- Apache Camel 4.23.0 security advisories blog camel.apache.org
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 15:46.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.