CVE-2026-84180

सारांश

Apache Camel Knative घटक में संवेदनशील जानकारी युक्त त्रुटि संदेश उत्पन्न होने की भेद्यता। यह समस्या Apache Camel को प्रभावित करती है: 4.0.0 से 4.18.5 से पहले तक, 4.19.0 से 4.22.1 से पहले तक। जब उपभोक्ता पक्ष पर किसी एक्सचेंज का प्रसंस्करण विफल हो जाता था, तो Knative HTTP उपभोक्ता परिणामी अपवाद को उसके वर्ग नाम, संदेश और स्टैक ट्रेस सहित प्रतिक्रिया निकाय के रूप में दूरस्थ कॉलर को वापस लिख देता था। इसलिए कोई बाहरी प्रेषक विफलता उत्पन्न करके परिनियोजन के बारे में आंतरिक विवरण पढ़ सकता था: वर्ग और पैकेज नाम, अपवाद संदेशों में मौजूद फ़ाइल सिस्टम या होस्ट नाम, और रूट की संरचना। यह विवरण अधिक लक्षित हमला बनाने के लिए उपयोगी है, और जहाँ कोई अपवाद संदेश कॉन्फ़िगरेशन या कनेक्शन स्ट्रिंग्स को समाहित करता है वहाँ यह अपने आप में ही जानकारी का खुलासा है। camel-knative वह शेष HTTP-परिवार उपभोक्ता था जिसे CAMEL-23651 द्वारा अन्य HTTP उपभोक्ताओं के लिए स्थापित muteException व्यवहार के साथ संरेखित नहीं किया गया था। Apache Camel 4.23.0 में अपग्रेड करें, जो इस समस्या को ठीक करता है। 4.18.x LTS रिलीज़ स्ट्रीम पर उपयोगकर्ताओं को 4.18.5 में अपग्रेड करना चाहिए। 4.22.x LTS रिलीज़ स्ट्रीम पर उपयोगकर्ताओं को 4.22.1 में अपग्रेड करना चाहिए। उपभोक्ता अब muteException विकल्प का पालन करता है जिसका डिफ़ॉल्ट true है, इसलिए रूट विफलता पर अपवाद के बजाय त्रुटि स्थिति के साथ एक खाली निकाय लौटाया जाता है। पिछला आउटपुट बहाल करने के लिए muteException=false सेट करें। उन परिनियोजनों के लिए जो तुरंत अपग्रेड नहीं कर सकते, एक onException हैंडलर जोड़ें जो प्रतिक्रिया निकाय को स्पष्ट रूप से सेट करता है, ताकि फ़्रेमवर्क कभी भी अपवाद को कॉलर को वापस न लिखे।

स्रोत

• CVE-2026-84180PoC

  CVE-2026-84180 के लिए रन करने योग्य Spring Boot और Quarkus रिप्रोड्यूसर, जो camel-knative HTTP कंज़्यूमर अपवाद लीकेज को प्रदर्शित करते हैं और muteException फ़िक्स को सत्यापित करते हैं।