Apache Camel vá hàng loạt lỗ hổng nghiêm trọng: Cảnh báo XXE và RCE

• Phạm vi ảnh hưởng: Nhiều thành phần trong Apache Camel bao gồm Camel-Saxon, Camel-XPath, Camel-Smooks, Camel-JGroups và Camel-HTTP.
• Nguy cơ chính: Lỗ hổng XML External Entity (XXE) cho phép đọc file cục bộ, Remote Code Execution (RCE) qua deserialization không an toàn và rò rỉ thông tin xác thực.
• Khuyến nghị: Các đội ngũ vận hành cần rà soát phiên bản đang triển khai và cập nhật lên các bản vá mới nhất theo hướng dẫn cụ thể của Apache.

Apache vừa chính thức công bố các bản vá bảo mật cho hàng loạt lỗ hổng tồn tại trong nền tảng tích hợp Apache Camel. Các lỗ hổng này bao gồm các lỗi XML External Entity (XXE) có mức độ nghiêm trọng cao, có khả năng dẫn đến việc rò rỉ dữ liệu từ hệ thống cục bộ hoặc truy cập trái phép vào các hệ thống nội bộ. Tùy thuộc vào cấu hình và các thành phần được sử dụng, ứng dụng có thể đối mặt với các rủi ro từ việc xử lý XML không an toàn cho đến thực thi mã từ xa (RCE) và đánh cắp thông tin xác thực.

Phân tích chi tiết các lỗ hổng bảo mật

Các nhà nghiên cứu bảo mật đã xác định được nhiều mã định danh CVE liên quan đến đợt cập nhật này. Dưới đây là bảng tổng hợp các lỗ hổng chính:

Chi tiết kỹ thuật về các lỗi XXE và RCE

Lỗ hổng CVE-2026-90885 trong Camel-Saxon xảy ra do XQueryBuilder xử lý các nội dung thông điệp đã được biểu diễn dưới dạng đối tượng javax.xml.transform.Source bằng cách sử dụng các thiết lập trình phân tích mặc định của Saxon. Điều này cho phép các thực thể bên ngoài được khai báo trong nội dung XML được phân giải, tạo ra điểm yếu XXE. Trong khi đó, CVE-2026-85250 trong Camel-XPath xuất hiện khi tham số documentType=InputSource chuyển payload tới một engine tự xây dựng trình phân tích dựa trên các thiết lập mặc định của JDK.

Đối với CVE-2026-88901 trong Camel-Smooks, trình đọc XML mặc định đã phân giải các thực thể bên ngoài (external general/parameter entities) và tải các định nghĩa kiểu tài liệu (DTD) bên ngoài. Kẻ tấn công có thể lợi dụng điều này để đọc các tệp tin nhạy cảm trên máy chủ. Ngoài ra, CVE-2026-88900 là một lỗ hổng deserialization Java không an toàn trong Camel-JGroups, cho phép kẻ tấn công thực thi mã từ xa trên hệ thống mục tiêu.

⚠️ Cảnh báo quan trọng: Lỗ hổng CVE-2026-85251 trong Camel-HTTP cực kỳ nguy hiểm khi tính năng followRedirects được kích hoạt. Thành phần này sẽ tự động đính kèm header Authorization vào yêu cầu chuyển hướng, cho phép máy chủ từ xa thu thập thông tin xác thực của người dùng.

Hướng dẫn khắc phục và phòng thủ

Để giảm thiểu rủi ro, các tổ chức cần thực hiện rà soát toàn bộ các thành phần Apache Camel đang được triển khai. Việc cập nhật không nên thực hiện một cách máy móc mà cần dựa trên các bản vá cụ thể cho từng nhánh phiên bản.

• Cập nhật phiên bản: Đối với lỗ hổng Saxon, Apache đã phát hành các bản vá trong phiên bản 4.18.5, 4.22.2 và 4.23.0. Đối với các lỗi XPath và Smooks, người dùng cần cập nhật lên 4.18.5, 4.22.1 hoặc 4.23.0.
• Kiểm tra cấu hình: Rà soát các điểm nhập thông điệp (message entry points) và các thiết lập chuyển hướng (redirect settings) trong ứng dụng.
• Hardening: Vô hiệu hóa việc xử lý DTD và các thực thể bên ngoài trong các trình phân tích XML nếu không thực sự cần thiết.

Việc quản lý lỗ hổng trong các ứng dụng sử dụng nhiều thư viện Camel đòi hỏi sự cẩn trọng cao độ. Các quản trị viên hệ thống có thể tham khảo thêm thông tin chi tiết tại Cơ sở dữ liệu lỗ hổng quốc gia (NVD) để nắm bắt các cập nhật mới nhất từ nhà phát triển. Việc duy trì quy trình vá lỗi định kỳ và giám sát các luồng dữ liệu đầu vào là chìa khóa để ngăn chặn các cuộc tấn công khai thác lỗ hổng này.