CVE-2026-85257

Riepilogo

Vulnerabilità di generazione di messaggi di errore contenenti informazioni sensibili nel componente Apache Camel CXF. Questo problema interessa Apache Camel: dalla 4.0.0 precedente alla 4.18.5, dalla 4.19.0 precedente alla 4.22.1. Quando una route dietro un consumer CXF SOAP falliva con un'eccezione non dichiarata dal contratto di servizio, l'eccezione veniva descritta al client SOAP nel fault: CXF copia il messaggio nel faultstring SOAP e può essere configurato per inserire lo stack trace nel fault detail. Un chiamante esterno in grado di provocare un errore poteva quindi leggere dettagli interni sul deployment - nomi di classi e package, e qualunque informazione trasportata dal messaggio dell'eccezione. I fault dichiarati, annotati con @WebFault, sono una questione diversa: fanno parte del contratto pubblicato rispetto al quale i client sono scritti, e sopprimerli romperebbe il servizio anziché proteggere qualcosa. Eseguire l'aggiornamento ad Apache Camel 4.23.0, che corregge il problema. Gli utenti sul ramo delle release LTS 4.18.x dovrebbero aggiornare alla 4.18.5. Gli utenti sul ramo delle release LTS 4.22.x dovrebbero aggiornare alla 4.22.1. Un'opzione del consumer muteException, con valore predefinito true, sostituisce un errore di route non dichiarato con un fault generico privo di nome della classe, messaggio o stack trace. I fault dichiarati dal contratto vengono segnalati esattamente come prima. Impostare muteException=false per ripristinare l'output precedente. Per i deployment che non possono aggiornare immediatamente, dichiarare le eccezioni che il servizio è autorizzato a segnalare e mappare ogni altro errore su una di esse in un handler onException, in modo che nessuna eccezione non dichiarata raggiunga il fault.

Fonti

• CVE-2026-85257PoC

  Reproducer eseguibile per Spring Boot e Quarkus relativo a CVE-2026-85257, che dimostra la divulgazione di informazioni nei SOAP fault di camel-cxf e verifica la correzione muteException.