CVE-2026-84180

Résumé

Vulnérabilité de génération de message d'erreur contenant des informations sensibles dans le composant Apache Camel Knative. Ce problème affecte Apache Camel : de 4.0.0 avant 4.18.5, de 4.19.0 avant 4.22.1. Lorsque le traitement d'un échange échouait côté consommateur, le consommateur HTTP Knative réécrivait l'exception résultante au demandeur distant comme corps de la réponse, y compris son nom de classe, son message et sa pile d'appels. Un émetteur externe pouvait donc provoquer une défaillance et lire des détails internes sur le déploiement : noms de classes et de paquets, noms de systèmes de fichiers ou d'hôtes véhiculés dans les messages d'exception, et la structure de la route. Ces détails sont utiles pour construire une attaque plus ciblée, et lorsqu'un message d'exception intègre de la configuration ou des chaînes de connexion, il s'agit d'une divulgation à part entière. camel-knative était le dernier consommateur de la famille HTTP à ne pas avoir été aligné sur le comportement muteException établi pour les autres consommateurs HTTP par CAMEL-23651. Mettez à niveau vers Apache Camel 4.23.0, qui corrige le problème. Les utilisateurs des versions LTS 4.18.x doivent mettre à niveau vers 4.18.5. Les utilisateurs des versions LTS 4.22.x doivent mettre à niveau vers 4.22.1. Le consommateur respecte désormais une option muteException qui vaut true par défaut, de sorte qu'un échec de route renvoie un corps vide avec le statut d'erreur plutôt que l'exception. Définissez muteException=false pour restaurer la sortie précédente. Pour les déploiements qui ne peuvent pas être mis à niveau immédiatement, ajoutez un gestionnaire onException qui définit explicitement le corps de la réponse, afin que le framework ne réécrive jamais l'exception au demandeur.

Sources

• CVE-2026-84180PoC

  Reproducteurs exécutables Spring Boot et Quarkus pour CVE-2026-84180, démontrant la fuite d'exceptions du consommateur HTTP camel-knative et vérifiant le correctif muteException.