CVE-2026-85315

सारांश

Apache Camel gRPC घटक में संवेदनशील जानकारी युक्त त्रुटि संदेश उत्पन्न होने की भेद्यता। यह समस्या Apache Camel को प्रभावित करती है: 4.0.0 से 4.18.5 से पहले तक, 4.19.0 से 4.22.1 से पहले तक। जब gRPC उपभोक्ता के पीछे का कोई रूट विफल होता था, तो अपवाद का संदेश gRPC स्थिति विवरण में डाल दिया जाता था। स्थिति कारण के विपरीत, जो सर्वर तक ही सीमित रहता है, विवरण कॉल करने वाले क्लाइंट तक प्रसारित होता है, इसलिए कोई बाहरी कॉलर जो विफलता उत्पन्न कर सकता है, आंतरिक त्रुटि संदेश पढ़ सकता था। इससे क्या प्रकट होता है यह अपवाद पर निर्भर करता है, और व्यवहार में इसमें क्लास और पैकेज नाम, पथ, होस्ट नाम और संदेशों में मौजूद कनेक्शन विवरण शामिल होते हैं। यह उसी unmuted-consumer-exception परिवार का gRPC सदस्य है जिसके साथ प्रकाशित knative, mina और CXF सलाहकार भी हैं। Apache Camel 4.23.0 में अपग्रेड करें, जो इस समस्या को ठीक करता है। 4.18.x LTS रिलीज़ स्ट्रीम पर उपयोगकर्ताओं को 4.18.5 में अपग्रेड करना चाहिए। 4.22.x LTS रिलीज़ स्ट्रीम पर उपयोगकर्ताओं को 4.22.1 में अपग्रेड करना चाहिए। एक muteException उपभोक्ता विकल्प, जिसका डिफ़ॉल्ट true है, रूट अपवाद के संदेश के बजाय स्थिति में एक सामान्य विवरण डालता है। पिछला आउटपुट बहाल करने के लिए muteException=false सेट करें। उन परिनियोजनों के लिए जो तुरंत अपग्रेड नहीं कर सकते, onException हैंडलर में विफलताओं को एक स्पष्ट स्थिति पर मैप करें ताकि फ्रेमवर्क कभी भी अपवाद संदेश को विवरण में कॉपी न करे।

स्रोत

• CVE-2026-85315PoC

  CVE-2026-85315 के लिए रन करने योग्य प्रूफ-ऑफ-कॉन्सेप्ट रिप्रोड्यूसर, जो Camel Spring Boot और Quarkus में camel-grpc कंज़्यूमर अपवाद संदेश प्रकटीकरण (CWE-209) को प्रदर्शित करता है।