JVNDB-2026-022948 | |
Apache Software FoundationのApache Camelにおける引数の挿入または変更に関する脆弱性 | |
| 概要 | |
Apache Camel の Docling コンポーネントにおいて、コマンド内の引数区切り文字の不適切な無害化（「引数インジェクション」）に関する脆弱性があります。camel-docling コンポーネントは、DoclingProducer 内で引数リストを組み立て、java.lang.ProcessBuilder を介して外部の `docling` コマンドラインツールを呼び出します。`CamelDoclingCustomArguments` エクスチェンジヘッダー（List＜String＞）を通じて渡されるカスタム CLI 引数は、この引数リストに十分な検証をせずに追加されていました。元の実装は、禁止フラグのデナイリストに依存し、リテラルの `../` シーケンスを含むパス値のみを拒否していました。その結果、外部から影響を受けたデータを `CamelDoclingCustomArguments` ヘッダー（または呼び出しに使用されるパスを含むヘッダー）に渡す Camel ルートは、プロデューサーがサブプロセスに未認識または意図しない `docling` CLI フラグを渡したり、リテラル `../` チェックで検出されない走査シーケンスにより意図しないディレクトリの外を指すパスのような引数値を供給したりする可能性があります。Camel 自体がこれらの値から `docling` 呼び出しを構築するため、コンポーネントがそれらを制限する責任があります。弱い検証のために CLI 引数インジェクションおよび外部ツールに渡される引数でのディレクトリトラバーサルが可能でした。呼び出しは ProcessBuilder のリスト形式を使用しているため、シェルは引数値を解釈せず、シェルのメタ文字による OS コマンドインジェクションは不可能です。修正により追加されたメタ文字拒否は多層防御の一環となっています。本問題は Apache Camel のバージョン 4.15.0 から 4.18.3 未満に影響します。ユーザーには、CAMEL-23212 の修正を含むリリースへのアップグレードを推奨します。メインラインでは Apache Camel 4.19.0 以降（4.20.0 などの後続リリース）に修正が含まれており、4.18.x LTS 系列のユーザーは 4.18.3 へのアップグレードが必要です。修正はデナイリストを、認識済み `docling` CLI フラグの厳格なホワイトリストに置き換え、未認識のフラグや出力ディレクトリ関連のプロデューサー管理フラグを拒否します。また、防御的に引数値のシェルメタ文字を拒否し、Path.normalize() でパスらしい値を正規化してから検証し、リテラルの `../` チェックをすり抜ける走査シーケンスを検出します。多層防御のために、ルート作成者は信頼できないメッセージ内容を `CamelDoclingCustomArguments` ヘッダーおよびパスを含むヘッダーにマッピングすることを避け、信頼できないプロデューサーから届いたメッセージから Camel 内部ヘッダーを除去すべきです。 | |
| CVSS による深刻度 (CVSS とは?) | |
|
CVSS v3 による深刻度
基本値: 9.1 (緊急) [その他]
| |
| 影響を受けるシステム | |
|
| |
Apache Software Foundation | |
本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。 | |
| 想定される影響 | |
・当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。 | |
| 対策 | |
ベンダ情報を参照して適切な対策を実施してください。 | |
| ベンダ情報 | |
Apache Software Foundation Openwall | |
| CWEによる脆弱性タイプ一覧 CWEとは? | |
| |
| 共通脆弱性識別子(CVE) CVEとは? | |
|
| |
| 参考情報 | |
| |
| 更新履歴 | |
|
| 公表日 | 2026/07/06 |
| 登録日 | 2026/07/10 |
| 最終更新日 | 2026/07/10 |
