CVE-2026-84180

ملخص

ثغرة تسريب رسائل الخطأ التي تحتوي على معلومات حساسة في مكوّن Apache Camel Knative. تؤثر هذه المشكلة على Apache Camel: من 4.0.0 قبل 4.18.5، ومن 4.19.0 قبل 4.22.1. عندما فشلت معالجة تبادل (exchange) على جانب المستهلك، كان مستهلك Knative HTTP يكتب الاستثناء الناتج مرة أخرى إلى المتصل البعيد كجسم للاستجابة، بما في ذلك اسم الصنف والرسالة وتتبّع المكدس (stack trace). لذلك كان بإمكان مرسل خارجي إحداث فشل وقراءة تفاصيل داخلية عن النشر: أسماء الأصناف والحزم، وأسماء أنظمة الملفات أو المضيفين الواردة في رسائل الاستثناء، وشكل المسار (route). هذه التفاصيل مفيدة لبناء هجوم أكثر استهدافًا، وحيثما تتضمن رسالة استثناء إعدادات أو سلاسل اتصال فإن ذلك يُعد كشفًا للمعلومات بحد ذاته. كان camel-knative هو مستهلك عائلة HTTP المتبقي الذي لم يكن قد وُوفق مع سلوك muteException الذي أُرسي للمستهلكين الآخرين في عائلة HTTP عبر CAMEL-23651. قم بالترقية إلى Apache Camel 4.23.0، الذي يعالج المشكلة. يجب على المستخدمين على سلسلة إصدارات الدعم طويل الأمد (LTS) 4.18.x الترقية إلى 4.18.5. يجب على المستخدمين على سلسلة إصدارات الدعم طويل الأمد (LTS) 4.22.x الترقية إلى 4.22.1. أصبح المستهلك الآن يحترم خيار muteException الذي تكون قيمته الافتراضية true، لذا فإن فشل المسار يعيد جسمًا فارغًا مع حالة الخطأ بدلًا من الاستثناء. اضبط muteException=false لاستعادة المخرجات السابقة. بالنسبة للنشرات التي لا يمكنها الترقية فورًا، أضف معالج onException يضبط جسم الاستجابة صراحةً، حتى لا يكتب الإطار العمل الاستثناء مرة أخرى إلى المتصل أبدًا.

المصادر

• CVE-2026-84180PoC

  مُعيدات إنتاج قابلة للتشغيل لـ Spring Boot وQuarkus خاصة بـ CVE-2026-84180، توضح تسريب استثناءات مستهلك HTTP في camel-knative وتتحقق من إصلاح muteException.