CVE-2026-85257
Apache Camel : divulgation d'informations via Camel-CXF en raison d'exceptions de consommateur non étouffées
- Publié
- 19 oct. 2026
- Mise à jour
- 19 oct. 2026
- Attribution de CNA
- apache
- Preuve observée
- 20 oct. 2026
CVSS primaire
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:NFaible · 30 prochains jours
- Percentile
- 35,6 %
- Date du modèle
- 25 oct. 2026
EPSS est une estimation statistique, et non une certitude ou une mesure d'impact. Combinez-le avec CVSS, le statut KEV, l'exposition et votre environnement.
Résumé
Vulnérabilité de génération de message d'erreur contenant des informations sensibles dans le composant Apache Camel CXF. Ce problème affecte Apache Camel : de 4.0.0 avant 4.18.5, de 4.19.0 avant 4.22.1. Lorsqu'une route derrière un consommateur CXF SOAP échouait avec une exception que le contrat de service ne déclare pas, l'exception était décrite en retour au client SOAP dans la fault : CXF copie le message dans le faultstring SOAP, et peut être configuré pour placer la stack trace dans le détail de la fault. Un appelant externe capable de provoquer une défaillance pouvait donc lire des détails internes sur le déploiement - noms de classes et de packages, et tout ce que le message d'exception transporte. Les faults déclarées, annotées @WebFault, sont un cas différent : elles font partie du contrat publié sur lequel les clients sont écrits, et les supprimer casserait le service plutôt que de protéger quoi que ce soit. Effectuez la mise à niveau vers Apache Camel 4.23.0, qui corrige le problème. Les utilisateurs du flux de versions LTS 4.18.x doivent effectuer la mise à niveau vers 4.18.5. Les utilisateurs du flux de versions LTS 4.22.x doivent effectuer la mise à niveau vers 4.22.1. Une option de consommateur muteException, dont la valeur par défaut est true, remplace une défaillance de route non déclarée par une fault générique ne contenant ni nom de classe, ni message, ni stack trace. Les faults que le contrat déclare sont signalées exactement comme avant. Définissez muteException=false pour restaurer la sortie précédente. Pour les déploiements qui ne peuvent pas être mis à niveau immédiatement, déclarez les exceptions que le service est autorisé à signaler et mappez toute autre défaillance sur l'une d'elles dans un gestionnaire onException, afin qu'aucune exception non déclarée n'atteigne la fault.
Sources
Reproducteur exécutable Spring Boot et Quarkus pour CVE-2026-85257, démontrant la divulgation d'informations via les fautes SOAP de camel-cxf et vérifiant le correctif muteException.
Utilisation responsable
Utilisez les informations de vulnérabilité uniquement sur les systèmes que vous possédez ou que vous êtes autorisé à tester. Kitploit renvoie aux métadonnées de la recherche publique et ne stocke pas de code d'exploitation ni de charges utiles malveillantes.