CVE-2026-85257

ملخص

ثغرة توليد رسالة خطأ تحتوي على معلومات حساسة في مكوّن Apache Camel CXF. تؤثر هذه المشكلة على Apache Camel: من 4.0.0 قبل 4.18.5، ومن 4.19.0 قبل 4.22.1. عندما يفشل مسار خلف مستهلك CXF SOAP بسبب استثناء لا يعلنه عقد الخدمة، كان يتم وصف الاستثناء مرة أخرى إلى عميل SOAP في الخطأ (fault): ينسخ CXF الرسالة إلى faultstring الخاص بـ SOAP، ويمكن تهيئته لوضع تتبّع المكدس (stack trace) في تفاصيل الخطأ (fault detail). لذلك، يمكن للمتصل الخارجي القادر على إحداث فشل أن يقرأ تفاصيل داخلية عن النشر - أسماء الفئات والحزم، وكل ما تحمله رسالة الاستثناء. الأخطاء المعلنة، والموسومة بـ @WebFault، أمر مختلف: فهي جزء من العقد المنشور الذي كُتب العملاء وفقًا له، وكبتها من شأنه أن يعطّل الخدمة بدلًا من حماية أي شيء. قم بالترقية إلى Apache Camel 4.23.0، الذي يصلح المشكلة. يجب على المستخدمين على سلسلة إصدارات 4.18.x LTS الترقية إلى 4.18.5. يجب على المستخدمين على سلسلة إصدارات 4.22.x LTS الترقية إلى 4.22.1. خيار المستهلك muteException، الذي تكون قيمته الافتراضية true، يستبدل فشل مسار غير معلن بخطأ عام لا يحمل أي اسم فئة أو رسالة أو تتبّع مكدس. يتم الإبلاغ عن الأخطاء التي يعلنها العقد تمامًا كما كان من قبل. اضبط muteException=false لاستعادة المخرجات السابقة. بالنسبة لعمليات النشر التي لا يمكنها الترقية فورًا، أعلن الاستثناءات المسموح للخدمة بالإبلاغ عنها واربط كل فشل آخر بأحدها في معالج onException، حتى لا يصل أي استثناء غير معلن إلى الخطأ.

المصادر

• CVE-2026-85257PoC

  مُعيد إنتاج قابل للتشغيل لـ Spring Boot وQuarkus من أجل CVE-2026-85257، يوضّح الكشف عن معلومات خطأ SOAP في camel-cxf ويتحقق من إصلاح muteException.