CVE-2026-85257

सारांश

Apache Camel CXF घटक में संवेदनशील जानकारी युक्त त्रुटि संदेश उत्पन्न होने की भेद्यता। यह समस्या Apache Camel को प्रभावित करती है: 4.0.0 से 4.18.5 से पहले तक, 4.19.0 से 4.22.1 से पहले तक। जब CXF SOAP उपभोक्ता के पीछे का कोई रूट किसी ऐसे अपवाद के साथ विफल होता था जिसे सेवा अनुबंध घोषित नहीं करता, तो उस अपवाद का विवरण SOAP क्लाइंट को fault में वापस बताया जाता था: CXF संदेश को SOAP faultstring में कॉपी करता है, और इसे fault detail में स्टैक ट्रेस रखने के लिए कॉन्फ़िगर किया जा सकता है। इसलिए कोई बाहरी कॉलर जो विफलता उत्पन्न कर सकता है, डिप्लॉयमेंट के बारे में आंतरिक विवरण पढ़ सकता था - क्लास और पैकेज के नाम, और जो कुछ भी अपवाद संदेश में होता है। घोषित faults, जिन पर @WebFault एनोटेशन होता है, एक अलग मामला है: वे प्रकाशित अनुबंध का हिस्सा हैं जिनके विरुद्ध क्लाइंट लिखे जाते हैं, और उन्हें दबाना किसी चीज़ की रक्षा करने के बजाय सेवा को तोड़ देगा। समस्या को ठीक करने वाले Apache Camel 4.23.0 में अपग्रेड करें। 4.18.x LTS रिलीज़ स्ट्रीम पर उपयोगकर्ताओं को 4.18.5 में अपग्रेड करना चाहिए। 4.22.x LTS रिलीज़ स्ट्रीम पर उपयोगकर्ताओं को 4.22.1 में अपग्रेड करना चाहिए। एक muteException उपभोक्ता विकल्प, जिसका डिफ़ॉल्ट true है, अघोषित रूट विफलता को एक सामान्य fault से बदल देता है जिसमें कोई क्लास नाम, संदेश या स्टैक ट्रेस नहीं होता। अनुबंध द्वारा घोषित faults पहले की तरह ही रिपोर्ट किए जाते हैं। पिछला आउटपुट बहाल करने के लिए muteException=false सेट करें। उन डिप्लॉयमेंट के लिए जो तुरंत अपग्रेड नहीं कर सकते, उन अपवादों को घोषित करें जिन्हें सेवा को रिपोर्ट करने की अनुमति है और onException हैंडलर में हर अन्य विफलता को उनमें से किसी एक पर मैप करें, ताकि कोई भी अघोषित अपवाद fault तक न पहुँचे।

स्रोत

• CVE-2026-85257PoC

  CVE-2026-85257 के लिए रन करने योग्य Spring Boot और Quarkus रिप्रोड्यूसर, जो camel-cxf SOAP फॉल्ट सूचना प्रकटीकरण को प्रदर्शित करता है और muteException फ़िक्स को सत्यापित करता है।