CVE-2026-85315

Zusammenfassung

Generierung einer Fehlermeldung, die sensible Informationen enthält, als Schwachstelle in der Apache Camel gRPC-Komponente. Dieses Problem betrifft Apache Camel: von 4.0.0 vor 4.18.5, von 4.19.0 vor 4.22.1. Wenn eine Route hinter einem gRPC-Consumer fehlschlug, wurde die Nachricht der Exception in die gRPC-Statusbeschreibung eingefügt. Anders als die Statusursache, die lokal auf dem Server bleibt, wird die Beschreibung an den aufrufenden Client übertragen, sodass ein externer Aufrufer, der einen Fehler auslösen kann, die interne Fehlermeldung lesen konnte. Was dadurch offengelegt wird, hängt von der Exception ab und umfasst in der Praxis Klassen- und Paketnamen, Pfade, Hostnamen und Verbindungsdetails, die in Nachrichten enthalten sind. Dies ist das gRPC-Mitglied derselben Familie von nicht stummgeschalteten Consumer-Exceptions wie die gleichzeitig veröffentlichten Advisories zu knative, mina und CXF. Führen Sie ein Upgrade auf Apache Camel 4.23.0 durch, das das Problem behebt. Benutzer des 4.18.x-LTS-Release-Streams sollten auf 4.18.5 aktualisieren. Benutzer des 4.22.x-LTS-Release-Streams sollten auf 4.22.1 aktualisieren. Eine Consumer-Option muteException, die standardmäßig auf true gesetzt ist, fügt eine generische Beschreibung in den Status ein, anstelle der Nachricht der Route-Exception. Setzen Sie muteException=false, um die vorherige Ausgabe wiederherzustellen. Für Deployments, die nicht sofort aktualisiert werden können, ordnen Sie Fehler in einem onException-Handler einem expliziten Status zu, damit das Framework die Exception-Nachricht niemals in die Beschreibung kopiert.

Quellen

• CVE-2026-85315PoC

  Lauffähiger Proof-of-Concept-Reproduzierer für CVE-2026-85315, der die Offenlegung von Exception-Meldungen bei camel-grpc-Consumern (CWE-209) in Camel Spring Boot und Quarkus demonstriert.