CVE-2026-49365 — camel-netty-http / camel-undertow: Offenlegung des Stack-Trace durch muteException

Ausführbare Proof-of-Concept-Reproduktionen für dieselbe Apache-Camel-Sicherheitslücke, eine pro Laufzeitumgebung:

Beide sind betroffene Versionen (behoben in 4.14.8 / 4.18.3 / 4.21.0) und beide weisen denselben Defekt auf: Die muteException-Option hat in camel-netty-http (und camel-undertow) standardmäßig den Wert false, sodass bei jedem Verarbeitungsfehler der vollständige Java-Stack-Trace an den HTTP-Client zurückgegeben wird – wodurch interne Backend- Hostnamen, Datenbank-URLs, Hinweise auf Anmeldeinformationen/Vaults, Bibliotheksversionen und Quellcode-Stellen preisgegeben werden (CWE-209). jetty/servlet und platform-http setzen diesen Standard bereits auf true.

cd camel-spring-boot   # or: cd camel-quarkus
mvn clean package
docker compose up -d --build
curl -s http://localhost:8080/exploit/attack
docker compose down

Zusammenfassung der Sicherheitslücke

Sicherheitshinweis: https://camel.apache.org/security/CVE-2026-49365.html

Haftungsausschluss

Diese Reproduktionen werden ausschließlich für Sicherheitsforschung und autorisierte Tests bereitgestellt, für eine öffentlich bekannt gegebene und behobene Sicherheitslücke. Verwenden Sie sie nicht gegen Systeme ohne ausdrückliche Genehmigung.