【活用ガイド】

JVNDB-2026-030788

Apache Software FoundationのApache Camelにおける相対パストラバーサルの脆弱性

概要

Apache Camel Azure-Storage Datalake コンポーネントにおける相対パストラバーサルの脆弱性について説明します。この問題は、Apache Camel のバージョン 4.0.0 から 4.14.9 未満、4.15.0 から 4.18.4 未満、4.19.0 から 4.22.0 未満に影響します。camel-azure-storage-datalake コンポーネントは、downloadToFile 操作を通じて Azure Data Lake Storage Gen2 のファイルをローカルファイルシステムにダウンロードし、fileDir エンドポイントオプションで指定されたディレクトリ内に書き込みます。DataLakeFileOperations.downloadToFile は、fileDir と Azure SDK が報告するリモートパス名をそのまま結合してローカルのターゲットを構築し（new File(fileDir, fileClientWrapper.getFileName())）、語彙的正規化や解決先が fileDir 内に収まっているかのチェックを行わずにその結果を直接 SDK のダウンロード呼び出しに渡しています。リモート名はルート制御されたデータではなく、コンシューマは DataLakeConsumer.createBatchExchangesFromPath 内でファイルシステムを列挙し、PathItem.getName() からのパス名を検証なしでそのまま使用して各エントリごとにエクスチェンジを作成しています。そのため、親ディレクトリを示すセグメントを含むパス名が設定された場合、fileDir の外側に解決される可能性があります。これにより、消費される Data Lake ファイルシステム内の名前に影響を与えられる者は、Camel が任意の場所にファイルを作成または上書きできてしまい、その操作は Camel プロセスの権限で実行されます。プロセスが書き込み可能な場所によっては、ダウンロードディレクトリ外のファイルを上書きすることにより、そのファイルの完全性を逸脱し、さらなる権限昇格につながる可能性があります。fileDir オプションは通常の一般グループ向け設定パラメータであり、セキュリティ境界としての示唆はありません。また、その値が包含境界として強制されていないことはユーザーに何ら警告されていません。Camel の他のファイルダウンロード用コンシューマ（camel-file、camel-ftp、camel-smb、camel-mina-sftp、および camel-azure-files）は、構成されたディレクトリへのローカルダウンロードをパスセグメント境界チェックで制限していますが、camel-azure-storage-datalake のダウンロードパスはこの対策の対象外でした。ユーザーには、この問題を修正したバージョン 4.22.0 へのアップグレードを推奨します。4.14.x LTS リリース系列を使用している場合は 4.14.9 に、4.18.x リリース系列を使用している場合は 4.18.4 へのアップグレードを推奨します。すぐにアップグレードできない環境では、regex エンドポイントオプションを使用してコンシューマが処理する名前を制限してください。regex は各リストされたパス名に対して全文字列一致で適用されるため、単純な単一セグメント名のみを許可し、パス区切り文字や親ディレクトリセグメントを含む名前はエクスチェンジ作成前にフィルタされます。あるいは、信頼できないファイルシステム上で downloadToFile 操作は避け、リモートリストから取得した名前ではなく、ルート自身が制御するファイル名を使ってペイロードを書き込む方法を採用してください。多層防御の観点から、外部から書き込み可能な Data Lake ファイルシステム内のオブジェクト名は信頼しない入力として扱い、それらからローカルファイルシステムのパスを派生させないようにしてください。
CVSS による深刻度 (CVSS とは?)

CVSS v3 による深刻度
基本値: 5.5 (警告) [その他]
  • 攻撃元区分: ローカル
  • 攻撃条件の複雑さ: 低
  • 攻撃に必要な特権レベル: 低
  • 利用者の関与: 不要
  • 影響の想定範囲: 変更なし
  • 機密性への影響(C): 高
  • 完全性への影響(I): なし
  • 可用性への影響(A): なし
影響を受けるシステム


Apache Software Foundation
  • Apache Camel 4.0.0 以上 4.14.9 未満
  • Apache Camel 4.15.0 以上 4.18.4 未満
  • Apache Camel 4.19.0 以上 4.22.0 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。
想定される影響

・当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
・当該ソフトウェアが扱う情報について、書き換えは発生しません。
・当該ソフトウェアは停止しません。
対策

ベンダ情報を参照して適切な対策を実施してください。
ベンダ情報

Apache Software Foundation Openwall
CWEによる脆弱性タイプ一覧  CWEとは?

  1. 相対パストラバーサル(CWE-23) [その他]
共通脆弱性識別子(CVE)  CVEとは?

  1. CVE-2026-60093
参考情報

  1. National Vulnerability Database (NVD) : CVE-2026-60093
更新履歴

  • [2026年08月28日]
      掲載

公表日2026/08/24
登録日2026/08/28
最終更新日2026/08/28