CVE-2026-85257

Resumen

Vulnerabilidad de generación de mensajes de error que contienen información sensible en el componente Apache Camel CXF. Este problema afecta a Apache Camel: desde 4.0.0 antes de 4.18.5, desde 4.19.0 antes de 4.22.1. Cuando una ruta detrás de un consumidor SOAP de CXF fallaba con una excepción que el contrato de servicio no declaraba, la excepción se describía de vuelta al cliente SOAP en el fault: CXF copia el mensaje en el faultstring del SOAP, y puede configurarse para colocar el stack trace en el fault detail. Un llamador externo capaz de provocar un fallo podía, por tanto, leer detalles internos sobre el despliegue: nombres de clases y paquetes, y lo que quiera que contenga el mensaje de la excepción. Los faults declarados, anotados con @WebFault, son un asunto distinto: forman parte del contrato publicado contra el que se escriben los clientes, y suprimirlos rompería el servicio en lugar de proteger algo. Actualice a Apache Camel 4.23.0, que corrige el problema. Los usuarios de la rama de versiones LTS 4.18.x deben actualizar a 4.18.5. Los usuarios de la rama de versiones LTS 4.22.x deben actualizar a 4.22.1. Una opción de consumidor muteException, con valor predeterminado true, sustituye un fallo de ruta no declarado por un fault genérico que no contiene nombre de clase, mensaje ni stack trace. Los faults que el contrato declara se notifican exactamente como antes. Establezca muteException=false para restaurar la salida anterior. Para los despliegues que no puedan actualizar de inmediato, declare las excepciones que el servicio tiene permitido notificar y asigne cualquier otro fallo a una de ellas en un manejador onException, de modo que ninguna excepción no declarada llegue al fault.

Fuentes

• CVE-2026-85257PoC

  Reproductor ejecutable de Spring Boot y Quarkus para CVE-2026-85257, que demuestra la divulgación de información en las fallas SOAP de camel-cxf y verifica la corrección muteException.