CVE-2026-101259

Zusammenfassung

Schwachstelle durch die Offenlegung sensibler Informationen in Fehlermeldungen in der Apache Camel CoAP-Komponente. Dieses Problem betrifft Apache Camel: von 4.0.0 bis vor 4.18.5, von 4.19.0 bis vor 4.22.2. Wenn der CoAP-Consumer seine Antwort nicht erstellen konnte, nachdem die Route abgeschlossen war, fing CamelCoapResource die resultierende Ausnahme ab und sandte deren Meldung als Payload einer 5.00 Internal Server Error-Antwort an den CoAP-Client zurück. Der typische Fall ist ein Typkonvertierungsfehler: Der Consumer konvertiert den finalen Nachrichtentext in die byte[]-Payload und die Header CamelCoapMaxAge und CamelCoapETag in ihre Typen, nachdem die Route zurückgekehrt ist und somit außerhalb des Fehlerhandlers der Route. In den betroffenen Releases nennt die Meldung eines solchen Fehlers die Klasse des zu konvertierenden Werts, enthält dessen String-Darstellung und endet mit dem Klassennamen und der Meldung der zugrunde liegenden Ursache, sodass ein entfernter CoAP-Client interne Details über die Bereitstellung lesen konnte: Klassen- und Paketnamen, die String-Darstellung des Werts, etwa den Pfad eines Dateiinhalts, und alles, was die Ursache mitführt, was in der Praxis Pfade, Hostnamen und Verbindungsdetails eines Backends umfassen kann. Der Consumer hatte keine Möglichkeit, dies zu unterdrücken, anders als die HTTP-Consumer, die zu diesem Zweck eine Option muteException bieten. Die von einer fehlschlagenden Route ausgelöste Ausnahme wurde nicht gesendet: Der Consumer prüfte nicht, ob der Exchange fehlgeschlagen war, und beantwortete einen Routenfehler mit 2.05 Content und dem Body, den die Nachricht zu diesem Zeitpunkt enthielt. Das Erreichen der Offenlegung erfordert daher eine Route, deren abgeschlossene Antwort ein entfernter Client in einen nicht konvertierbaren Zustand bringen kann, was davon abhängt, wie die Route geschrieben ist. Benutzern wird empfohlen, auf Version 4.23.0 zu aktualisieren, die das Problem behebt. Wenn Benutzer den Release-Stream 4.22.x verwenden, wird ihnen empfohlen, auf 4.22.2 zu aktualisieren. Wenn Benutzer den Release-Stream 4.18.x verwenden, wird ihnen empfohlen, auf 4.18.5 zu aktualisieren. Der Release-Stream 4.14.x und früher sowie die Release-Linien 4.15.x bis 4.17.x und 4.19.x bis 4.21.x haben ihr End-of-Life erreicht, bevor dieses Problem behoben wurde, und erhalten keinen Fix, sodass Bereitstellungen auf diesen auf ein unterstütztes Release wechseln müssen. Das Upgrade allein genügt: Die neue Consumer-Option muteException ist standardmäßig auf allen drei behobenen Release-Linien auf true gesetzt, sodass die Fehlerantwort ohne jegliche Konfigurationsänderung keine Payload enthält. Für Bereitstellungen, die nicht sofort aktualisieren können, stellen Sie sicher, dass die Antwort nach Abschluss der Route stets erstellt werden kann: Konvertieren Sie den Body als letzten Schritt jeder Route, die von einem coap-Endpunkt konsumiert, in byte[] oder String, beispielsweise mit convertBodyTo, weisen Sie den Headern CamelCoapMaxAge und CamelCoapETag nur Werte ihrer eigenen Typen zu und fügen Sie einen onException-Handler hinzu, der den Fehler als behandelt markiert und den Antwort-Body explizit setzt, sodass ein Konvertierungsfehler innerhalb der Route statt im Consumer ausgelöst und ersetzt wird.