CVE-2026-101259

सारांश

Apache Camel CoAP घटक में संवेदनशील जानकारी युक्त त्रुटि संदेश उत्पन्न होने की भेद्यता। यह समस्या Apache Camel को प्रभावित करती है: 4.0.0 से 4.18.5 से पहले तक, 4.19.0 से 4.22.2 से पहले तक। जब मार्ग पूर्ण हो जाने के बाद CoAP उपभोक्ता अपनी प्रतिक्रिया नहीं बना पाता था, तो CamelCoapResource परिणामी अपवाद को पकड़ लेता था और उसका संदेश 5.00 Internal Server Error प्रतिक्रिया के पेलोड के रूप में CoAP क्लाइंट को वापस भेज देता था। विशिष्ट मामला एक प्रकार रूपांतरण विफलता का है: उपभोक्ता अंतिम संदेश बॉडी को byte[] पेलोड में, और CamelCoapMaxAge तथा CamelCoapETag हेडर को उनके प्रकारों में परिवर्तित करता है, मार्ग के लौटने के बाद, और इसलिए मार्ग के त्रुटि हैंडलर के बाहर। प्रभावित रिलीज़ों पर ऐसी विफलता का संदेश उस मान के वर्ग का नाम बताता है जिसे परिवर्तित किया जा रहा है, मान का स्ट्रिंग रूप रखता है, और अंतर्निहित कारण के वर्ग नाम और संदेश के साथ समाप्त होता है, इसलिए एक दूरस्थ CoAP क्लाइंट परिनियोजन के बारे में आंतरिक विवरण पढ़ सकता था: वर्ग और पैकेज नाम, मान का स्ट्रिंग रूप, जैसे किसी फ़ाइल बॉडी का पथ, और जो कुछ भी कारण रखता है, जिसमें व्यवहार में बैकएंड के पथ, होस्ट नाम और कनेक्शन विवरण शामिल हो सकते हैं। उपभोक्ता के पास इसे दबाने का कोई विकल्प नहीं था, HTTP उपभोक्ताओं के विपरीत, जो इस उद्देश्य के लिए muteException विकल्प प्रदान करते हैं। विफल होने वाले मार्ग द्वारा उठाया गया अपवाद नहीं भेजा जाता था: उपभोक्ता यह जाँच नहीं करता था कि एक्सचेंज विफल हुआ है या नहीं, और मार्ग विफलता का उत्तर 2.05 Content और उस बिंदु पर संदेश में जो भी बॉडी थी, उसके साथ देता था। इसलिए इस जानकारी के खुलासे तक पहुँचने के लिए ऐसे मार्ग की आवश्यकता होती है जिसकी पूर्ण प्रतिक्रिया को कोई दूरस्थ क्लाइंट अपरिवर्तनीय बना सके, जो इस बात पर निर्भर करता है कि मार्ग कैसे लिखा गया है। उपयोगकर्ताओं को संस्करण 4.23.0 में अपग्रेड करने की सलाह दी जाती है, जो इस समस्या को ठीक करता है। यदि उपयोगकर्ता 4.22.x रिलीज़ स्ट्रीम पर हैं, तो उन्हें 4.22.2 में अपग्रेड करने का सुझाव दिया जाता है। यदि उपयोगकर्ता 4.18.x रिलीज़ स्ट्रीम पर हैं, तो उन्हें 4.18.5 में अपग्रेड करने का सुझाव दिया जाता है। 4.14.x रिलीज़ स्ट्रीम और उससे पहले की, तथा 4.15.x से 4.17.x और 4.19.x से 4.21.x रिलीज़ लाइनें, इस समस्या के समाधान से पहले ही जीवन-चक्र के अंत तक पहुँच चुकी थीं और उन्हें कोई समाधान नहीं मिलेगा, इसलिए उन पर चल रहे परिनियोजनों को किसी समर्थित रिलीज़ पर स्थानांतरित होना चाहिए। अपग्रेड अपने आप में पर्याप्त है: नया muteException उपभोक्ता विकल्प तीनों ठीक की गई रिलीज़ लाइनों पर डिफ़ॉल्ट रूप से true है, इसलिए त्रुटि प्रतिक्रिया में बिना किसी कॉन्फ़िगरेशन परिवर्तन के कोई पेलोड नहीं होता है। उन परिनियोजनों के लिए जो तुरंत अपग्रेड नहीं कर सकते, सुनिश्चित करें कि मार्ग पूर्ण हो जाने के बाद प्रतिक्रिया हमेशा बनाई जा सके: प्रत्येक मार्ग के अंतिम चरण के रूप में जो coap एंडपॉइंट से उपभोग करता है, बॉडी को byte[] या String में परिवर्तित करें, उदाहरण के लिए convertBodyTo के साथ, CamelCoapMaxAge और CamelCoapETag हेडर को केवल उनके अपने प्रकारों के मान दें, और एक onException हैंडलर जोड़ें जो विफलता को हैंडल किया गया के रूप में चिह्नित करे और प्रतिक्रिया बॉडी को स्पष्ट रूप से सेट करे, ताकि रूपांतरण विफलता उपभोक्ता में नहीं बल्कि मार्ग के भीतर उठाई और प्रतिस्थापित की जाए।