CVE-2026-49365 — Divulgation de la trace de pile de muteException dans camel-netty-http / camel-undertow

Reproducteurs de preuve de concept exécutables pour la même vulnérabilité Apache Camel, un par runtime :

Les deux sont des versions affectées (corrigées en 4.14.8 / 4.18.3 / 4.21.0) et démontrent toutes deux le même défaut : l'option muteException est livrée avec une valeur par défaut de false dans camel-netty-http (et camel-undertow), de sorte que lors de toute erreur de traitement, la trace de pile Java complète est renvoyée au client HTTP — divulguant les noms d'hôtes internes du backend, les URL de bases de données, des indices sur les identifiants et coffres de secrets, les versions de bibliothèques et les emplacements du code source (CWE-209). jetty/servlet et platform-http la définissent déjà à true par défaut.

Chaque sous-répertoire est un projet autonome avec son propre Dockerfile, son docker-compose.yml et son README. En bref, pour l'un ou l'autre :

cd camel-spring-boot   # or: cd camel-quarkus
mvn clean package
docker compose up -d --build
curl -s http://localhost:8080/exploit/attack
docker compose down

Résumé de la vulnérabilité

Avis : https://camel.apache.org/security/CVE-2026-49365.html

Clause de non-responsabilité

Ces reproducteurs sont fournis uniquement pour la recherche en sécurité et les tests autorisés, pour une vulnérabilité publiquement divulguée et corrigée. Ne les utilisez pas contre des systèmes sans autorisation explicite.