CVE-2026-85257

Zusammenfassung

Generierung einer Fehlermeldung mit sensiblen Informationen – Schwachstelle in der Apache-Camel-CXF-Komponente. Dieses Problem betrifft Apache Camel: von 4.0.0 bis vor 4.18.5, von 4.19.0 bis vor 4.22.1. Wenn eine Route hinter einem CXF-SOAP-Consumer mit einer Ausnahme fehlschlug, die der Servicevertrag nicht deklariert, wurde die Ausnahme an den SOAP-Client im Fault zurückgemeldet: CXF kopiert die Meldung in den SOAP-faultstring und kann so konfiguriert werden, dass der Stacktrace im Fault-Detail abgelegt wird. Ein externer Aufrufer, der einen Fehler auslösen konnte, konnte daher interne Details über die Bereitstellung auslesen – Klassen- und Paketnamen sowie alles, was die Ausnahmemeldung enthält. Deklarierte Faults, annotiert mit @WebFault, sind etwas anderes: Sie sind Teil des veröffentlichten Vertrags, gegen den Clients geschrieben werden, und ihre Unterdrückung würde den Dienst brechen statt etwas zu schützen. Führen Sie ein Upgrade auf Apache Camel 4.23.0 durch, wodurch das Problem behoben wird. Benutzer des LTS-Release-Streams 4.18.x sollten auf 4.18.5 aktualisieren. Benutzer des LTS-Release-Streams 4.22.x sollten auf 4.22.1 aktualisieren. Eine Consumer-Option muteException, standardmäßig true, ersetzt einen nicht deklarierten Routenfehler durch einen generischen Fault ohne Klassennamen, Meldung oder Stacktrace. Faults, die der Vertrag deklariert, werden genau wie zuvor gemeldet. Setzen Sie muteException=false, um die vorherige Ausgabe wiederherzustellen. Für Bereitstellungen, die nicht sofort aktualisiert werden können, deklarieren Sie die Ausnahmen, die der Dienst melden darf, und ordnen Sie jeden anderen Fehler in einem onException-Handler einer dieser Ausnahmen zu, sodass keine nicht deklarierte Ausnahme den Fault erreicht.

Quellen

• CVE-2026-85257PoC

  Lauffähiger Spring Boot- und Quarkus-Reproducer für CVE-2026-85257, der die Offenlegung von Informationen in camel-cxf SOAP-Faults demonstriert und den muteException-Fix verifiziert.