CVE-2026-66906 in Camel
Riassunto
di VulDB • 24/08/2026
Vulnerabilità di traversamento del percorso relativo nel componente Azure Storage Blob di Apache Camel.
Questo problema interessa Apache Camel: dalle versioni 4.0.0 alla 4.14.9 (esclusa), dalla 4.15.0 alla 4.18.4 (esclusa) e dalla 4.19.0 alla 4.22.0 (esclusa).
Il componente camel-azure-storage-blob può scaricare un blob di Azure Storage nel filesystem locale tramite la sua operazione downloadBlobToFile, scrivendo nella directory denominata dall'opzione endpoint fileDir, che è documentata come utilizzabile sia dal producer che dal consumer. BlobOperations.downloadBlobToFile costruiva il target locale unendo fileDir con il nome del blob remoto esattamente così com'era riportato dall'SDK di Azure (new File(fileDir, client.getBlobName())) e passava il risultato direttamente alla chiamata di download dell'SDK, senza alcuna normalizzazione lessicale e senza verificare che la posizione risolta rimanesse all'interno di fileDir. Il nome del blob non è dati controllati dal route: il consumer enumera il contenitore in BlobConsumer.createBatchExchangesFromContainer, che elenca i blob e crea uno scambio (exchange) per ogni voce usando verbatim BlobItem.getName(), senza applicare alcun filtro sui nomi per impostazione predefinita. Un nome di blob contenente segmenti di directory genitore si risolveva quindi in una posizione esterna a fileDir configurato, permettendo a chiunque sia in grado di influenzare i nomi presenti nel consumato contenitore di far sì che Camel creasse o sovrascrivesse un file in una posizione da loro scelta, con i privilegi del processo Camel. A seconda di ciò che il processo può scrivere, la sovrascrittura di un file al di fuori della directory di download può portare a conseguenze oltre alla semplice perdita di integrità di quel file. I contenitori blob di Azure Storage utilizzano uno spazio dei nomi piatto in cui il nome del blob è una chiave opaca, quindi un nome che contiene tali segmenti viene memorizzato ed elencato così com'è. L'opzione fileDir è un parametro di configurazione comune ordinario e non ha marcatori di sicurezza, quindi nulla segnalava agli utenti che il suo valore non veniva applicato come confine di contenimento. Gli altri consumer per il download di file di Camel - camel-file, camel-ftp, camel-smb, camel-mina-sftp e camel-azure-files - limitavano già i loro download locali alla directory configurata utilizzando un controllo del confine dei segmenti del percorso; il percorso di download di camel-azure-storage-blob non era coperto da tale lavoro.
Si consiglia agli utenti di eseguire l'aggiornamento alla versione 4.22.0, che risolve il problema. Se gli utenti utilizzano le release LTS della serie 4.14.x, si suggerisce di aggiornare a 4.14.9. Se gli utenti utilizzano la serie di rilasci 4.18.x, si suggerisce di aggiornare a 4.18.4. Per i deployment che non possono eseguire l'aggiornamento immediatamente, è possibile vincolare i nomi su cui il consumer agirà utilizzando l'opzione endpoint regex, che viene applicata come corrispondenza dell'intera stringa a ciascun nome di blob elencato, in modo da accettare solo nomi semplici con un singolo segmento e filtrare qualsiasi nome contenente un separatore di percorso o un segmento di directory genitore prima della creazione dello scambio; l'opzione prefix può inoltre restringere l'elenco lato server, notando che quando entrambe sono impostate regex ha la priorità e prefix viene ignorato. In alternativa, evitare l'operazione downloadBlobToFile su contenitori non attendibili e scrivere il payload dal route sotto un nome di file controllato direttamente dal route stesso, anziché uno preso dall'elenco remoto. Come difesa in profondità, trattare i nomi dei blob in qualsiasi contenitore scrivibile esternamente come input non attendibile e non derivare percorsi del filesystem locale da essi.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.