CVE-2026-84180

Zusammenfassung

Generierung einer Fehlermeldung, die sensible Informationen enthält, als Schwachstelle in der Apache Camel Knative-Komponente. Dieses Problem betrifft Apache Camel: von 4.0.0 vor 4.18.5, von 4.19.0 vor 4.22.1. Wenn die Verarbeitung eines Exchange auf der Consumer-Seite fehlschlug, schrieb der Knative HTTP-Consumer die resultierende Exception als Antwortkörper an den entfernten Aufrufer zurück, einschließlich ihres Klassennamens, ihrer Nachricht und ihres Stack-Trace. Ein externer Absender konnte daher einen Fehler provozieren und interne Details über die Bereitstellung auslesen: Klassen- und Paketnamen, Dateisystem- oder Hostnamen, die in Exception-Nachrichten enthalten sind, sowie die Struktur der Route. Diese Details sind nützlich, um einen gezielteren Angriff aufzubauen, und wenn eine Exception-Nachricht Konfigurations- oder Verbindungszeichenfolgen einbettet, handelt es sich um eine Offenlegung an sich. camel-knative war der verbleibende Consumer aus der HTTP-Familie, der nicht an das muteException-Verhalten angeglichen worden war, das durch CAMEL-23651 für die anderen HTTP-Consumer etabliert wurde. Führen Sie ein Upgrade auf Apache Camel 4.23.0 durch, das das Problem behebt. Benutzer des 4.18.x-LTS-Release-Streams sollten auf 4.18.5 aktualisieren. Benutzer des 4.22.x-LTS-Release-Streams sollten auf 4.22.1 aktualisieren. Der Consumer berücksichtigt nun eine muteException-Option, die standardmäßig auf true gesetzt ist, sodass ein Routenfehler einen leeren Body mit dem Fehlerstatus anstelle der Exception zurückgibt. Setzen Sie muteException=false, um die vorherige Ausgabe wiederherzustellen. Für Bereitstellungen, die nicht sofort aktualisiert werden können, fügen Sie einen onException-Handler hinzu, der den Antwortkörper explizit setzt, sodass das Framework die Exception niemals an den Aufrufer zurückschreibt.

Quellen

• CVE-2026-84180PoC

  Lauffähige Spring Boot- und Quarkus-Reproducer für CVE-2026-84180, die das Durchsickern von Ausnahmen im camel-knative HTTP-Consumer demonstrieren und den muteException-Fix verifizieren.