CVE-2026-85246

ملخص

ثغرة تسريب معلومات حساسة عبر رسائل الخطأ في مكوّن Apache Camel Mina. تؤثر هذه المشكلة على Apache Camel: من 4.0.0 قبل 4.18.5، ومن 4.19.0 قبل 4.22.1. عند فشل معالجة تبادل (exchange)، كان مستهلك Mina يكتب exchange.getException() مباشرةً عبر المقبس إلى النظير البعيد. فعبر برنامج ترميز textline يمنح النظير اسم فئة الاستثناء ورسالته؛ وعبر برنامج ترميز الكائنات (object codec) يمنحه الاستثناء المُسلسَل، بما في ذلك سلسلة الأسباب. لذلك، يمكن لنظير بعيد قادر على إحداث فشل أن يقرأ تفاصيل داخلية عن عملية النشر — أسماء الفئات والحزم، وكل ما قد تحمله رسالة أو سبب متداخل، وهو ما قد يشمل عمليًا المسارات وأسماء المضيفين وتفاصيل الاتصال. لم يكن لدى المستهلك أي خيار لكتم هذا، على عكس مستهلكي عائلة HTTP التي وُحّدت عبر CAMEL-23651. قم بالترقية إلى Apache Camel 4.23.0، الذي يصلح المشكلة. يجب على المستخدمين على سلسلة إصدارات الدعم طويل الأمد 4.18.x الترقية إلى 4.18.5. ويجب على المستخدمين على سلسلة إصدارات الدعم طويل الأمد 4.22.x الترقية إلى 4.22.1. يحل خيار المستهلك muteException، الذي تكون قيمته الافتراضية true، محل استثناء المسار بآخر عام لا يحمل اسم فئة أو رسالة أو تتبّع مكدس، مع الاستمرار في كتابة رد حتى لا يُترك نظير متزامن حتى انتهاء المهلة. اضبط muteException=false لاستعادة السلوك السابق. بالنسبة لعمليات النشر التي لا يمكنها الترقية فورًا، أضف معالج onException يضبط جسم الرد صراحةً، حتى لا يكتب الإطار أبدًا الاستثناء مرة أخرى إلى النظير.

المصادر

• CVE-2026-85246PoC

  مُعيد إنتاج قابل للتشغيل لـ Spring Boot من أجل CVE-2026-85246، يُوضّح كشف استثناء مستهلك camel-mina عبر المقبس ويتحقق من إصلاح muteException.