CVE-2026-84180

Resumen

Vulnerabilidad de generación de mensajes de error que contienen información sensible en el componente Apache Camel Knative. Este problema afecta a Apache Camel: desde 4.0.0 antes de 4.18.5, desde 4.19.0 antes de 4.22.1. Cuando el procesamiento de un exchange fallaba en el lado del consumidor, el consumidor HTTP de Knative escribía la excepción resultante de vuelta al llamador remoto como cuerpo de la respuesta, incluyendo su nombre de clase, mensaje y traza de pila. Un remitente externo podía, por tanto, provocar un fallo y leer detalles internos sobre el despliegue: nombres de clases y paquetes, nombres de sistemas de archivos o de hosts incluidos en los mensajes de excepción, y la forma de la ruta. Ese detalle es útil para construir un ataque más dirigido y, cuando un mensaje de excepción incorpora configuración o cadenas de conexión, constituye una divulgación por sí mismo. camel-knative era el consumidor restante de la familia HTTP que no se había alineado con el comportamiento muteException establecido para los demás consumidores HTTP por CAMEL-23651. Actualice a Apache Camel 4.23.0, que corrige el problema. Los usuarios de la rama de versiones LTS 4.18.x deben actualizar a 4.18.5. Los usuarios de la rama de versiones LTS 4.22.x deben actualizar a 4.22.1. El consumidor ahora respeta una opción muteException que por defecto es true, de modo que un fallo en la ruta devuelve un cuerpo vacío con el estado de error en lugar de la excepción. Establezca muteException=false para restaurar la salida anterior. Para los despliegues que no puedan actualizar de inmediato, añada un manejador onException que establezca el cuerpo de la respuesta explícitamente, de modo que el framework nunca escriba la excepción de vuelta al llamador.

Fuentes

• CVE-2026-84180PoC

  Reproductores ejecutables de Spring Boot y Quarkus para CVE-2026-84180, que demuestran la fuga de excepciones del consumidor HTTP de camel-knative y verifican la corrección muteException.