CVE-2026-49365 — camel-netty-http / camel-undertow Divulgación de stack-trace en muteException

Reproductores de prueba de concepto ejecutables para la misma vulnerabilidad de Apache Camel, uno por runtime:

Ambas son versiones afectadas (corregidas en 4.14.8 / 4.18.3 / 4.21.0), y ambas demuestran el mismo defecto: la opción muteException viene con un valor predeterminado de false en camel-netty-http (y camel-undertow), por lo que ante cualquier error de procesamiento se devuelve al cliente HTTP el stack trace completo de Java — filtrando nombres de host internos del backend, URLs de bases de datos, pistas de credenciales/bóvedas, versiones de librerías y ubicaciones de código fuente (CWE-209). jetty/servlet y platform-http ya lo establecen en true por defecto.

Cada subdirectorio es un proyecto autónomo con su propio Dockerfile, docker-compose.yml y README. En resumen, para cualquiera de los dos:

cd camel-spring-boot   # o: cd camel-quarkus
mvn clean package
docker compose up -d --build
curl -s http://localhost:8080/exploit/attack
docker compose down

Resumen de la vulnerabilidad

Aviso: https://camel.apache.org/security/CVE-2026-49365.html

Descargo de responsabilidad

Estos reproductores se proporcionan solo para investigación de seguridad y pruebas autorizadas, para una vulnerabilidad divulgada públicamente y corregida. No los utilice contra sistemas sin permiso explícito.