Leon Zlobecki

يحدث تقييد غير صحيح لمراجع الكيانات الخارجية XML (XXE) في مكون Saxon الخاص بـ Apache Camel لأن `XQueryBuilder` في `camel-saxon` يستخدم تكوين Saxon افتراضيًا يقبل إعلانات DOCTYPE ويحل الكيانات الخارجية. بينما تحمي محولات نوع XML في Camel الأجسام من نوع String أو byte[] أو InputStream، فإن الأجسام التي تكون بالفعل `javax.xml.transform.Source` (مثل تلك التي يتم إنشاؤها عبر `convertBodyTo(Source.class)`) يتم تمريرها إلى Saxon دون تغيير. يسمح هذا لمرسل خارجي بتقديم جسم XML مصمم خصيصًا يمكن استخدامه لقراءة الملفات المحلية التي يمكن لعملية Camel الوصول إليها أو إجبار العملية على إرسال طلبات إلى مضيفين خارجيين.

يفشل مكون `camel-hazelcast` في تطبيق `JavaSerializationFilterConfig` على مثيلات Hazelcast التي يتم إنشاؤها من خلال مسارات تكوين محددة. يحدث هذا عندما يقوم `ReplicatedHazelcastAggregationRepository` بتجاوز دالة `doStart()` دون استدعاء الطريقة super، وعندما يقوم `HazelcastDefaultComponent#getOrCreateHzClientInstance()` ببناء `ClientConfig` بينما تم تعيين `hazelcastMode` على `client` بدون `ClientConfig` مرجعي أو `hazelcastConfigUri`. نتيجة لذلك، تظل عملية إلغاء تسلسل Java غير مقيدة. يمكن للمهاجم القادر على نشر بيانات في cluster Hazelcast المتصل أن يتسبب في إلغاء تسلسل كائن Java مصمم خصيصًا داخل طبقة التسلسل، مما يؤدي إلى تنفيذ رموز عن بُعد. تزداد هذه المخاطر لأن clusters Hazelcast لا تفعل المصادقة أو TLS افتراضيًا.

توجد مشكلة حيث يسمح نقطة النهاية `dynamic-router-control` بتجميع التعبيرات في Predicate دون وجود قائمة مسموح بها أو آلية اختيار. عند معالجة طلبات الاشتراك أو التحديث، يقوم `DynamicRouterControlProducer` باستخراج مسند الاشتراك واسم اللغة من حقلي `predicate` و `expressionLanguage` في جسم `DynamicRouterControlMessage` أو من ترويسات `CamelDynamicRouterPredicate` و `CamelDynamicRouterExpressionLanguage`. بعد ذلك، يقوم `DynamicRouterControlService` بحل اللغة من `CamelContext` وتجميع التعبير. إذا كانت هناك مسار يوجه الرسائل من نقل خارجي إلى نقطة نهاية التحكم هذه، فيمكن للمهاجم تقديم تعبير عشوائي يتم تقييمه بصلاحيات عملية Camel. يشمل ذلك لغة simple الموجودة دائمًا. يتطلب الاستغلال القدرة على إرسال رسالة عبر وسيلة نقل توجه إلى نقطة نهاية `dynamic-router-control`.

The Metasploit Framework Web Service REST API (msf-ws) contains a flaw where the `Msf::WebServices::CredentialServlet` fails to enforce authentication for specific routes. Specifically, the `update credential` (PUT) and `delete credentials` (DELETE) handlers for the '/api/v1/credentials' endpoint omit the required authentication call. Since the underlying `lib/ms/core/db manager/cred.rb` does not perform its own authorization checks, any client with network access to the default 0.0.0.0:8080 listener can read, modify, or permanently delete all stored credential records, including passwords, hashes, and private keys.

A flaw in the `SourceProvider` allows an unauthenticated attacker to perform a remote file read. By sending a specially crafted XML body containing a DOCTYPE declaration that references external entities to an endpoint accepting `application/xml` and returning `Source` or `StreamSource`, the server may resolve the entity and include sensitive file contents in the HTTP response. This occurs because the `writeTo()` function creates a SAXParser without disabling external entity resolution, resulting in an XML External Entity (XXE) vulnerability—a type of attack that interferes with an application's processing of XML data.

توجد مشكلة في مكون Spring Redis الخاص بـ Apache Camel حيث يتم إلغاء تسلسل البيانات غير الموثوقة. يقوم تابع `RedisConfiguration.getSerializer` بإنشاء `JdkSerializationRedisSerializer` افتراضيًا عندما لا يتم تكوين أي مسلسِل. يستخدم هذا التنفيذ `ConfigurableObjectInputStream` بدون `java.io.ObjectInputFilter` ، مما يسمح بتجسيد مخطط فئات مسلسَل تعسفي وتنفيذ تابع `readObject()` الخاص به. يقوم تابع `RedisConsumer.setBody` بتطبيق هذا المسلسِل على البايتات الخام للرسائل المنشورة في القنوات المشترك بها، مما يمكن المهاجم من الوصول إلى مصرف إلغاء التسلسل عبر أمر PUBLISH. بالإضافة إلى ذلك، يستخدم `RedisTemplate` الذي تم إنشاؤه بواسطة `RedisConfiguration.createDefaultTemplate` و `SpringRedisIdempotentRepository` نفس المسلسِل الافتراضي، مما يؤثر على أوامر القراءة للمنتج مثل GET و HGET و HGETALL و HVALS. لا يؤدي تكوين `redisTemplate` مخصص إلى معالجة مسار المستهلك لأن `RedisConsumer.setBody` يصل إلى `getSerializer` مباشرة.

توجد مشكلة تتعلق بالتحقق غير السليم من صحة المدخلات في مكون Apache Camel DAPR، وتحديدًا داخل `DaprPubSubConsumer`. يقوم المكون بنسخ اسم مكون Pub/Sub والموضوع من CloudEvents الواردة إلى رؤوس Exchange `CamelDaprPubSubName` و`CamelDaprTopic`. ونظرًا لأن `DaprConfigurationOptionsProxy` يعطي الأولوية لهذه الرؤوس على الوجهة المُعدة مسبقًا أثناء إعادة النشر، فإن المهاجم القادر على نشر الرسائل إلى موضوع مشترك يمكنه التلاعب بهذه القيم. وهذا يسمح للمهاجم بإعادة توجيه الرسائل أو تسريبها إلى مكون وموضوع Dapr Pub/Sub عشوائيين، متجاوزًا التوجيه المقصود وضوابط الوصول على مستوى الموضوع. ويتطلب استغلال هذه الثغرة القدرة على النشر إلى الموضوع الذي يشترك فيه المسار.