CVE-2026-85246

Riepilogo

Vulnerabilità di generazione di messaggi di errore contenenti informazioni sensibili nel componente Mina di Apache Camel. Questo problema interessa Apache Camel: dalla 4.0.0 precedente alla 4.18.5, dalla 4.19.0 precedente alla 4.22.1. Quando l'elaborazione di uno scambio falliva, il consumer Mina riscriveva exchange.getException() direttamente sul socket verso il peer remoto. Con un codec textline ciò consegna al peer il nome della classe e il messaggio dell'eccezione; con il codec object consegna l'eccezione serializzata, catena delle cause inclusa. Un peer remoto in grado di provocare un errore poteva quindi leggere dettagli interni sul deployment - nomi di classi e package, e qualunque cosa un messaggio o una causa annidata possa contenere, che in pratica può includere percorsi, nomi host e dettagli di connessione. Il consumer non aveva alcuna opzione per sopprimere questo comportamento, a differenza dei consumer della famiglia HTTP allineati da CAMEL-23651. Aggiornare ad Apache Camel 4.23.0, che corregge il problema. Gli utenti del flusso di release LTS 4.18.x dovrebbero aggiornare alla 4.18.5. Gli utenti del flusso di release LTS 4.22.x dovrebbero aggiornare alla 4.22.1. Un'opzione del consumer muteException, con valore predefinito true, sostituisce l'eccezione della route con una generica priva di nome della classe, messaggio o stack trace, scrivendo comunque una risposta affinché un peer sincrono non resti in attesa fino al timeout. Impostare muteException=false per ripristinare il comportamento precedente. Per i deployment che non possono aggiornare immediatamente, aggiungere un handler onException che imposta esplicitamente il corpo della risposta, così che il framework non riscriva mai l'eccezione al peer.

Fonti

• CVE-2026-85246PoC

  Reproduttore Spring Boot eseguibile per CVE-2026-85246, che dimostra la divulgazione delle eccezioni del consumer camel-mina tramite socket e verifica la correzione muteException.