CVE-2026-85246

Résumé

Vulnérabilité de génération de message d'erreur contenant des informations sensibles dans le composant Apache Camel Mina. Ce problème affecte Apache Camel : de 4.0.0 avant 4.18.5, de 4.19.0 avant 4.22.1. Lorsque le traitement d'un échange échouait, le consommateur Mina réécrivait exchange.getException() directement sur la socket vers le pair distant. Avec un codec textline, cela transmet au pair le nom de classe et le message de l'exception ; avec le codec objet, cela transmet l'exception sérialisée, chaîne de causes incluse. Un pair distant capable de provoquer un échec pouvait donc lire des détails internes sur le déploiement — noms de classes et de packages, et tout ce qu'un message ou une cause imbriquée peut contenir, ce qui en pratique peut inclure des chemins, des noms d'hôtes et des détails de connexion. Le consommateur n'avait aucune option pour supprimer cela, contrairement aux consommateurs de la famille HTTP alignés par CAMEL-23651. Effectuez la mise à niveau vers Apache Camel 4.23.0, qui corrige le problème. Les utilisateurs des versions LTS 4.18.x doivent effectuer la mise à niveau vers 4.18.5. Les utilisateurs des versions LTS 4.22.x doivent effectuer la mise à niveau vers 4.22.1. Une option de consommateur muteException, dont la valeur par défaut est true, remplace l'exception de route par une exception générique ne portant ni nom de classe, ni message, ni trace de pile, tout en écrivant une réponse afin qu'un pair synchrone ne soit pas laissé en attente jusqu'au délai d'expiration. Définissez muteException=false pour restaurer le comportement précédent. Pour les déploiements qui ne peuvent pas être mis à niveau immédiatement, ajoutez un gestionnaire onException qui définit explicitement le corps de la réponse, afin que le framework ne réécrive jamais l'exception vers le pair.

Sources

• CVE-2026-85246PoC

  Reproducteur Spring Boot exécutable pour CVE-2026-85246, démontrant la divulgation d'exceptions du consommateur camel-mina via le socket et vérifiant le correctif muteException.