CVE-2026-85246

सारांश

Apache Camel Mina घटक में संवेदनशील जानकारी युक्त त्रुटि संदेश उत्पन्न होने की भेद्यता। यह समस्या Apache Camel को प्रभावित करती है: 4.0.0 से 4.18.5 से पहले तक, 4.19.0 से 4.22.1 से पहले तक। जब किसी exchange का प्रसंस्करण विफल होता था, तो Mina consumer सीधे socket के माध्यम से exchange.getException() को remote peer को वापस लिख देता था। textline codec पर यह peer को exception का class name और message दे देता है; object codec पर यह serialised exception, cause chain सहित, सौंप देता है। इसलिए कोई remote peer जो विफलता उत्पन्न कर सकता है, deployment के बारे में आंतरिक विवरण पढ़ सकता था - class और package के नाम, और जो कुछ भी कोई message या nested cause ले जाता है, जिसमें व्यवहार में paths, host names और connection विवरण शामिल हो सकते हैं। consumer के पास इसे दबाने का कोई विकल्प नहीं था, CAMEL-23651 द्वारा संरेखित HTTP-परिवार के consumers के विपरीत। समस्या को ठीक करने वाले Apache Camel 4.23.0 में अपग्रेड करें। 4.18.x LTS releases stream पर उपयोगकर्ताओं को 4.18.5 में अपग्रेड करना चाहिए। 4.22.x LTS releases stream पर उपयोगकर्ताओं को 4.22.1 में अपग्रेड करना चाहिए। एक muteException consumer विकल्प, जिसका डिफ़ॉल्ट true है, route exception को एक generic exception से बदल देता है जिसमें कोई class name, message या stack trace नहीं होता, जबकि अभी भी एक reply लिखता है ताकि कोई synchronous peer timeout का शिकार न हो। पिछले व्यवहार को बहाल करने के लिए muteException=false सेट करें। उन deployments के लिए जो तुरंत अपग्रेड नहीं कर सकते, एक onException handler जोड़ें जो reply body को स्पष्ट रूप से सेट करे, ताकि framework कभी भी exception को peer को वापस न लिखे।

स्रोत

• CVE-2026-85246PoC

  CVE-2026-85246 के लिए रन करने योग्य Spring Boot रिप्रोड्यूसर, जो सॉकेट पर camel-mina कंज़्यूमर अपवाद प्रकटीकरण का प्रदर्शन करता है और muteException फ़िक्स को सत्यापित करता है।