CVE-2026-85315

Resumen

Vulnerabilidad de generación de mensajes de error que contienen información sensible en el componente gRPC de Apache Camel. Este problema afecta a Apache Camel: desde 4.0.0 antes de 4.18.5, desde 4.19.0 antes de 4.22.1. Cuando una ruta detrás de un consumidor gRPC fallaba, el mensaje de la excepción se colocaba en la descripción del estado de gRPC. A diferencia de la causa del estado, que permanece local en el servidor, la descripción se transmite al cliente que realiza la llamada, por lo que un llamador externo capaz de provocar un fallo podría leer el mensaje de error interno. Lo que esto revela depende de la excepción y, en la práctica, incluye nombres de clases y paquetes, rutas, nombres de host y detalles de conexión contenidos en los mensajes. Este es el miembro gRPC de la misma familia de excepciones de consumidor no silenciadas que los avisos de knative, mina y CXF publicados junto a él. Actualice a Apache Camel 4.23.0, que corrige el problema. Los usuarios de la rama de versiones LTS 4.18.x deben actualizar a 4.18.5. Los usuarios de la rama de versiones LTS 4.22.x deben actualizar a 4.22.1. Una opción de consumidor muteException, que por defecto es true, coloca una descripción genérica en el estado en lugar del mensaje de la excepción de la ruta. Establezca muteException=false para restaurar la salida anterior. Para las implementaciones que no pueden actualizar de inmediato, asigne los fallos a un estado explícito en un controlador onException para que el framework nunca copie el mensaje de la excepción en la descripción.

Fuentes

• CVE-2026-85315PoC

  Reproductor ejecutable de prueba de concepto para CVE-2026-85315, que demuestra la divulgación de mensajes de excepción del consumidor de camel-grpc (CWE-209) en Camel Spring Boot y Quarkus.