CVE-2026-85315

ملخص

ثغرة توليد رسالة خطأ تحتوي على معلومات حساسة في مكوّن gRPC في Apache Camel. تؤثر هذه المشكلة على Apache Camel: من 4.0.0 قبل 4.18.5، ومن 4.19.0 قبل 4.22.1. عند فشل مسار خلف مستهلك gRPC، كانت رسالة الاستثناء تُوضع في وصف حالة gRPC. وعلى عكس سبب الحالة، الذي يبقى محليًا على الخادم، يُنقل الوصف إلى العميل المستدعي، لذا يمكن للمستدعي الخارجي القادر على إحداث فشل أن يقرأ رسالة الخطأ الداخلية. وما يكشفه ذلك يعتمد على الاستثناء، ويشمل عمليًا أسماء الفئات والحزم والمسارات وأسماء المضيفين وتفاصيل الاتصال المحمّلة في الرسائل. هذا هو عضو gRPC من عائلة استثناءات المستهلك غير المكتومة نفسها التي تنتمي إليها التنبيهات knative وmina وCXF المنشورة إلى جانبه. قم بالترقية إلى Apache Camel 4.23.0، الذي يصلح المشكلة. يجب على المستخدمين على سلسلة إصدارات الدعم طويل الأمد 4.18.x الترقية إلى 4.18.5. يجب على المستخدمين على سلسلة إصدارات الدعم طويل الأمد 4.22.x الترقية إلى 4.22.1. يضع خيار المستهلك muteException، الذي تكون قيمته الافتراضية true، وصفًا عامًا في الحالة بدلًا من رسالة استثناء المسار. اضبط muteException=false لاستعادة المخرجات السابقة. بالنسبة إلى عمليات النشر التي لا يمكنها الترقية فورًا، اربط حالات الفشل بحالة صريحة في معالج onException حتى لا ينسخ الإطار أبدًا رسالة الاستثناء إلى الوصف.

المصادر

• CVE-2026-85315PoC

  أداة إثبات مفهوم قابلة للتشغيل لإعادة إنتاج CVE-2026-85315، تُظهر الكشف عن رسائل الاستثناء في مستهلك camel-grpc (CWE-209) في Camel Spring Boot وQuarkus.