CVE-2026-85246

Resumen

Vulnerabilidad de generación de mensajes de error que contienen información sensible en el componente Mina de Apache Camel. Este problema afecta a Apache Camel: desde 4.0.0 anterior a 4.18.5, desde 4.19.0 anterior a 4.22.1. Cuando fallaba el procesamiento de un exchange, el consumidor de Mina escribía exchange.getException() directamente de vuelta por el socket al par remoto. Con un códec textline, esto entrega al par el nombre de la clase y el mensaje de la excepción; con el códec de objetos, entrega la excepción serializada, incluida la cadena de causas. Por lo tanto, un par remoto capaz de provocar un fallo podía leer detalles internos del despliegue: nombres de clases y paquetes, y lo que quiera que lleve un mensaje o una causa anidada, lo que en la práctica puede incluir rutas, nombres de host y detalles de conexión. El consumidor no tenía ninguna opción para suprimir esto, a diferencia de los consumidores de la familia HTTP alineados por CAMEL-23651. Actualice a Apache Camel 4.23.0, que corrige el problema. Los usuarios de la rama de versiones LTS 4.18.x deben actualizar a 4.18.5. Los usuarios de la rama de versiones LTS 4.22.x deben actualizar a 4.22.1. Una opción de consumidor muteException, con valor predeterminado true, sustituye la excepción de la ruta por una genérica que no lleva nombre de clase, mensaje ni traza de pila, a la vez que sigue escribiendo una respuesta para que un par síncrono no quede esperando hasta agotar el tiempo de espera. Establezca muteException=false para restaurar el comportamiento anterior. Para los despliegues que no puedan actualizar de inmediato, añada un manejador onException que establezca explícitamente el cuerpo de la respuesta, de modo que el framework nunca escriba la excepción de vuelta al par.

Fuentes

• CVE-2026-85246PoC

  Reproductor ejecutable de Spring Boot para CVE-2026-85246, que demuestra la divulgación de excepciones del consumidor de camel-mina a través del socket y verifica la corrección muteException.