CVE-2026-85315

Riepilogo

Vulnerabilità di generazione di messaggi di errore contenenti informazioni sensibili nel componente gRPC di Apache Camel. Questo problema riguarda Apache Camel: dalla 4.0.0 precedente alla 4.18.5, dalla 4.19.0 precedente alla 4.22.1. Quando una route dietro un consumer gRPC falliva, il messaggio dell'eccezione veniva inserito nella descrizione dello stato gRPC. A differenza della causa dello stato, che rimane locale al server, la descrizione viene trasmessa al client chiamante, quindi un chiamante esterno in grado di provocare un errore poteva leggere il messaggio di errore interno. Ciò che viene divulgato dipende dall'eccezione e, in pratica, include nomi di classi e package, percorsi, nomi host e dettagli di connessione contenuti nei messaggi. Questo è il membro gRPC della stessa famiglia di eccezioni dei consumer non silenziate degli avvisi knative, mina e CXF pubblicati insieme ad esso. Eseguire l'aggiornamento ad Apache Camel 4.23.0, che risolve il problema. Gli utenti dei rilasci LTS 4.18.x dovrebbero aggiornare alla 4.18.5. Gli utenti dei rilasci LTS 4.22.x dovrebbero aggiornare alla 4.22.1. Un'opzione del consumer muteException, con valore predefinito true, inserisce una descrizione generica nello stato invece del messaggio dell'eccezione della route. Impostare muteException=false per ripristinare l'output precedente. Per le distribuzioni che non possono essere aggiornate immediatamente, mappare gli errori su uno stato esplicito in un handler onException in modo che il framework non copi mai il messaggio dell'eccezione nella descrizione.

Fonti

• CVE-2026-85315PoC

  Riproduttore proof-of-concept eseguibile per CVE-2026-85315, che dimostra la divulgazione dei messaggi di eccezione del consumer camel-grpc (CWE-209) in Camel Spring Boot e Quarkus.