oscerd/cve-2026-85257Reproducteur exécutable Spring Boot et Quarkus pour CVE-2026-85257, démontrant la divulgation d'informations via les fautes SOAP de camel-cxf et vérifiant le correctif muteException.
Reproducteur de preuve de concept exécutable pour la vulnérabilité Apache Camel où, lorsqu'une route derrière un consommateur SOAP CXF échouait avec une exception que le contrat de service ne déclare pas, l'exception était renvoyée au client SOAP dans la faute : CXF copie le message dans le faultstring SOAP (et peut être configuré pour placer la pile d'appels dans le détail de la faute). Un appelant externe capable de provoquer une défaillance pouvait donc lire des détails internes sur le déploiement — noms de classes et de packages, et tout ce que porte le message de l'exception. Les fautes déclarées (annotées @WebFault) sont un cas différent : elles font partie du contrat publié sur lequel les clients sont écrits, elles sont donc toujours signalées intégralement.
| Runtime | Répertoire | Stack |
|---|---|---|
| Camel Spring Boot | camel-spring-boot/ | Spring Boot 3.5.13 + camel-cxf-soap 4.22.0 (affecté ; corrigé en 4.22.1), CXFServlet sur Tomcat |
| Camel Quarkus | camel-quarkus/ | Quarkus 3.29.0 + camel-quarkus-cxf-soap (Camel 4.15.0, affecté ; contrôle corrigé CQ 3.40.0 / Camel 4.22.1) |
Les deux modules démontrent le comportement affecté ainsi que le comportement corrigé.
Un consommateur SOAP CXF soutient une route dont le processeur lève une IllegalStateException non déclarée portant des détails internes simulés (un jeton marqueur et une fausse URL JDBC interne). Le pilote agit comme un client SOAP : il invoque le service et lit la faute SOAP qui lui est renvoyée.
Exchange processing failed — ne portant ni classe, ni message, ni pile d'appels de l'exception de la route (la nouvelle option de consommateur muteException vaut true par défaut). Une faute que le contrat déclare (@WebFault) serait toujours renvoyée intégralement.# Camel Spring Boot
cd camel-spring-boot
mvn clean package
docker compose up -d --build
curl -s http://localhost:8080/exploit/attack # affected: fault leaks internal detail; >>> PROVEN
docker compose down
# Patched control
mvn clean package -Dcamel.version=4.22.1
java -jar target/cve-2026-85257-cxf-fault-info-disclosure-0.0.1-SNAPSHOT.jar &
curl -s http://localhost:8080/exploit/attack # fixed: generic fault; >>> Not exploited
# Camel Quarkus
cd camel-quarkus
mvn clean package
docker compose up -d --build
curl -s http://localhost:8080/exploit/attack # affected (Camel 4.15.0): fault leaks internal detail
docker compose down
# Patched control: CQ 3.40.0 ships Camel 4.22.1
mvn clean package -Dcamel-quarkus.version=3.40.0 -Dquarkus.platform.version=3.40.0
java -jar target/quarkus-app/quarkus-run.jar &
curl -s http://localhost:8080/exploit/attack # fixed: generic fault
| Propriété | Valeur |
|---|---|
| Composant | camel-cxf (CxfConsumer, construction des fautes SOAP) |
| CWE | CWE-209 (Génération de message d'erreur contenant des informations sensibles) |
| Gravité | MOYENNE |
| Vecteur d'attaque | Un appelant SOAP provoque un échec de route non déclaré et lit le détail de l'exception dans la faute |
| Impact | Divulgation d'informations : la classe/le message de l'exception (noms d'hôtes internes, chaînes de connexion, structure de la route) parviennent à un appelant SOAP externe |
| Versions affectées | À partir de 4.0.0 avant 4.18.5, à partir de 4.19.0 avant 4.22.1 |
| Versions corrigées | 4.18.5, 4.22.1, 4.23.0 |
| JIRA | CAMEL-24477 |
| Crédit | Claude Security Scan Tool |
Avis de sécurité : https://camel.apache.org/security/CVE-2026-85257.html
Le module Spring Boot monte le CXFServlet sur le Tomcat embarqué (un transport CXF Jetty autonome entre en conflit avec la version de Jetty gérée par Spring Boot), de sorte que le point de terminaison SOAP est servi à
/services/hellosur le port 8080.
CxfConsumer ajoute une option de consommateur muteException (par défaut true).
Pour un échec de route non déclaré, il construit désormais la faute à partir d'une Exception("Exchange processing failed") de substitution
avec une pile d'appels vide, au lieu de l'exception de la route — ainsi aucun nom de classe, message ou pile d'appels ne parvient à
l'appelant. Une exception déclarée par le contrat (@WebFault) est détectée et signalée intégralement, car la supprimer
casserait le service. Définissez muteException=false pour restaurer la sortie précédente.
Déclarez les exceptions que le service est autorisé à signaler et associez tout autre échec à l'une d'elles dans un
gestionnaire onException, afin qu'aucune exception non déclarée n'atteigne la faute.
Ce dépôt est publié à des fins éducatives et défensives : pour aider les utilisateurs d'Apache Camel à comprendre la vulnérabilité, vérifier s'ils sont affectés et confirmer que la mise à jour la résout. Le jeton marqueur et l'URL JDBC dans la route défaillante sont des fixtures locales fictives et inertes. N'utilisez pas ce matériel contre des systèmes que vous ne possédez pas ou n'exploitez pas.