CVE-2026-85315

Résumé

Vulnérabilité de génération de message d'erreur contenant des informations sensibles dans le composant gRPC d'Apache Camel. Ce problème affecte Apache Camel : de 4.0.0 avant 4.18.5, de 4.19.0 avant 4.22.1. Lorsqu'une route derrière un consommateur gRPC échouait, le message de l'exception était placé dans la description du statut gRPC. Contrairement à la cause du statut, qui reste locale au serveur, la description est transmise au client appelant, de sorte qu'un appelant externe capable de provoquer une défaillance pouvait lire le message d'erreur interne. Ce que cela divulgue dépend de l'exception et inclut en pratique les noms de classes et de packages, les chemins, les noms d'hôtes et les détails de connexion véhiculés dans les messages. Il s'agit du membre gRPC de la même famille d'exceptions de consommateur non muettes que les avis knative, mina et CXF publiés en parallèle. Effectuez la mise à niveau vers Apache Camel 4.23.0, qui corrige le problème. Les utilisateurs des versions LTS 4.18.x doivent effectuer la mise à niveau vers 4.18.5. Les utilisateurs des versions LTS 4.22.x doivent effectuer la mise à niveau vers 4.22.1. Une option de consommateur muteException, dont la valeur par défaut est true, place une description générique dans le statut au lieu du message de l'exception de la route. Définissez muteException=false pour restaurer la sortie précédente. Pour les déploiements qui ne peuvent pas être mis à niveau immédiatement, mappez les défaillances sur un statut explicite dans un gestionnaire onException afin que le framework ne copie jamais le message de l'exception dans la description.

Sources

• CVE-2026-85315PoC

  Reproducteur de preuve de concept exécutable pour CVE-2026-85315, démontrant la divulgation de messages d'exception du consommateur camel-grpc (CWE-209) dans Camel Spring Boot et Quarkus.