CVE-2026-84180

Riepilogo

Vulnerabilità di generazione di messaggi di errore contenenti informazioni sensibili nel componente Apache Camel Knative. Il problema riguarda Apache Camel: dalla 4.0.0 precedente alla 4.18.5, dalla 4.19.0 precedente alla 4.22.1. Quando l'elaborazione di uno scambio falliva sul lato consumer, il consumer HTTP Knative scriveva l'eccezione risultante al chiamante remoto come corpo della risposta, includendo il nome della classe, il messaggio e lo stack trace. Un mittente esterno poteva quindi provocare un errore e leggere dettagli interni sul deployment: nomi di classi e package, nomi di file system o host contenuti nei messaggi delle eccezioni e la struttura della route. Tali dettagli sono utili per costruire un attacco più mirato e, quando un messaggio di eccezione incorpora configurazioni o stringhe di connessione, costituiscono di per sé una divulgazione. camel-knative era l'ultimo consumer della famiglia HTTP a non essere stato allineato al comportamento muteException stabilito per gli altri consumer HTTP da CAMEL-23651. Aggiornare ad Apache Camel 4.23.0, che corregge il problema. Gli utenti del ramo di rilascio LTS 4.18.x devono aggiornare alla 4.18.5. Gli utenti del ramo di rilascio LTS 4.22.x devono aggiornare alla 4.22.1. Il consumer ora rispetta un'opzione muteException che per impostazione predefinita è true, quindi un errore della route restituisce un corpo vuoto con lo stato di errore anziché l'eccezione. Impostare muteException=false per ripristinare l'output precedente. Per i deployment che non possono aggiornare immediatamente, aggiungere un handler onException che imposta esplicitamente il corpo della risposta, in modo che il framework non scriva mai l'eccezione al chiamante.

Fonti

• CVE-2026-84180PoC

  Riproduttori eseguibili Spring Boot e Quarkus per CVE-2026-84180, che dimostrano la fuga di eccezioni del consumer HTTP camel-knative e verificano la correzione muteException.