CVE-2026-49365

Riepilogo

# Vulnerabilità di generazione di messaggi di errore contenenti informazioni sensibili nel componente Apache Camel Netty HTTP Il consumer del server HTTP camel-netty-http espone un'opzione `muteException` che controlla ciò che viene restituito al client quando si verifica un errore durante l'elaborazione di una route. Questa opzione era impostata su `false` di default perché il campo sottostante era un booleano primitivo non inizializzato (il default di Java è `false`), mentre gli altri componenti server HTTP di Camel (camel-http / camel-jetty / camel-servlet e camel-platform-http) la impostano su `true` di default. Con `muteException=false`, quando una richiesta attiva un'eccezione durante l'elaborazione della route, il consumer scrive l'intera stack trace del `Throwable` nel corpo della risposta HTTP come `text/plain` (tramite `DefaultNettyHttpBinding`) invece di restituire un corpo vuoto. Qualsiasi client non autenticato che possa raggiungere l'endpoint e causare un errore di elaborazione — ad esempio inviando un corpo della richiesta malformato, un parametro non valido o innescando in altro modo un errore interno alla route — riceve quindi una stack trace Java completa. Tale stack trace può rivelare informazioni interne sensibili, incluse credenziali incorporate nei messaggi di eccezione, nomi host e indirizzi IP interni, percorsi del filesystem, dettagli su dipendenze e versioni, nomi di database e classi, e la struttura interna dell'applicazione, che un attaccante può utilizzare per pianificare ulteriori attacchi. Questo problema riguarda Apache Camel: dalla 4.0.0 prima della 4.14.8, dalla 4.15.0 prima della 4.18.3, dalla 4.19.0 prima della 4.21.0. Si consiglia agli utenti di aggiornare alla versione 4.21.0, che risolve il problema. Se gli utenti si trovano sul ramo di release LTS 4.14.x, si consiglia di aggiornare alla 4.14.8. Se gli utenti si trovano sul ramo di release 4.18.x, si consiglia di aggiornare alla 4.18.3. Per le distribuzioni che non possono aggiornare immediatamente, impostare esplicitamente `muteException=true` sul consumer camel-netty-http (ad esempio `netty-http: http://0.0.0.0:8080/api?muteException=true`, o globalmente tramite la proprietà `camel.component.netty-http.configuration.mute-exception=true`), in modo che gli errori di elaborazione non restituiscano più la stack trace al client.

Fonti