CVE-2026-60093

Nome do Software Vulnerável e Versões Afetadas Apache Camel versões 4.0.0 até 4.14.8 Apache Camel versões 4.15.0 até 4.18.3 Apache Camel versões 4.19.0 até 4.21.x

Description Um problema de travessia de caminho relativo (relative path traversal) existe no componente camel-azure-storage-datalake durante a operação downloadToFile. O componente grava arquivos em um diretório local especificado pela opção de endpoint fileDir, juntando-o ao nome do caminho remoto fornecido pelo SDK do Azure sem normalização lexical ou verificações de limite. Como a função DataLakeConsumer.createBatchExchangesFromPath cria trocas a partir do PathItem.getName() verbatim, um nome de arquivo remoto contendo segmentos de diretório pai pode resolver para um local fora do fileDir pretendido. Isso permite que um invasor que possa influenciar os nomes dos arquivos no sistema de arquivos Data Lake consumido crie ou sobrescreva arquivos no sistema de arquivos local com os privilégios do processo Camel, podendo levar à perda de integridade de arquivos ou escalada de privilégios.

Recommendations Atualize para a versão 4.14.9 para aqueles na linha de lançamentos LTS 4.14.x. Atualize para a versão 4.18.4 para aqueles na linha de lançamentos 4.18.x. Atualize para a versão 4.22.0 para todas as outras versões afetadas. Como mitigação temporária, use a opção de endpoint regex para garantir que apenas nomes simples de segmento único sejam aceitos, filtrando quaisquer nomes com separadores de caminho ou segmentos de diretório pai. Evite usar a operação downloadToFile em sistemas de arquivos não confiáveis e, em vez disso, use um nome de arquivo controlado pela rota. Trate os nomes de objetos em sistemas de arquivos Data Lake graváveis externamente como entradas não confiáveis e evite derivar caminhos de sistema de arquivos locais a partir deles.