CVE-2026-85246

Zusammenfassung

Generierung einer Fehlermeldung mit sensiblen Informationen – Schwachstelle in der Apache-Camel-Mina-Komponente. Dieses Problem betrifft Apache Camel: von 4.0.0 vor 4.18.5, von 4.19.0 vor 4.22.1. Wenn die Verarbeitung eines Exchange fehlschlug, schrieb der Mina-Consumer exchange.getException() direkt über den Socket zurück an den entfernten Peer. Über einen Textline-Codec erhält der Peer dadurch den Klassennamen und die Meldung der Exception; über den Object-Codec erhält er die serialisierte Exception einschließlich der Cause-Kette. Ein entfernter Peer, der einen Fehler auslösen kann, konnte somit interne Details über die Bereitstellung auslesen – Klassen- und Paketnamen sowie alles, was eine Meldung oder eine verschachtelte Cause zufällig enthält, was in der Praxis Pfade, Hostnamen und Verbindungsdetails umfassen kann. Der Consumer hatte keine Möglichkeit, dies zu unterdrücken, anders als die HTTP-Familie der Consumer, die durch CAMEL-23651 angeglichen wurden. Führen Sie ein Upgrade auf Apache Camel 4.23.0 durch, das das Problem behebt. Benutzer des LTS-Release-Streams 4.18.x sollten auf 4.18.5 aktualisieren. Benutzer des LTS-Release-Streams 4.22.x sollten auf 4.22.1 aktualisieren. Eine Consumer-Option muteException, standardmäßig true, ersetzt die Route-Exception durch eine generische Exception ohne Klassennamen, Meldung oder Stacktrace und schreibt dennoch eine Antwort, damit ein synchroner Peer nicht in einen Timeout läuft. Setzen Sie muteException=false, um das vorherige Verhalten wiederherzustellen. Für Bereitstellungen, die nicht sofort aktualisiert werden können, fügen Sie einen onException-Handler hinzu, der den Antwort-Body explizit setzt, sodass das Framework die Exception nie an den Peer zurückschreibt.

Quellen

• CVE-2026-85246PoC

  Lauffähiger Spring-Boot-Reproduzierer für CVE-2026-85246, der die Offenlegung von Ausnahmen im camel-mina-Consumer über den Socket demonstriert und den muteException-Fix verifiziert.