CVE-2026-49365 — Divulgazione dello stack-trace di muteException in camel-netty-http / camel-undertow

Reproducer proof-of-concept eseguibili per la stessa vulnerabilità Apache Camel, uno per runtime:

Entrambe sono versioni interessate (corrette in 4.14.8 / 4.18.3 / 4.21.0) e dimostrano lo stesso identico difetto: l'opzione muteException viene fornita con un valore predefinito di false in camel-netty-http (e camel-undertow), quindi su qualsiasi errore di elaborazione lo stack trace Java completo viene restituito al client HTTP — divulgando hostname interni del backend, URL di database, suggerimenti su credenziali/vault, versioni delle librerie e posizioni del codice sorgente (CWE-209). jetty/servlet e platform-http lo impostano già a true per impostazione predefinita.

Ogni sottodirectory è un progetto autonomo con il proprio Dockerfile, docker-compose.yml e README. In breve, per entrambi:

cd camel-spring-boot   # or: cd camel-quarkus
mvn clean package
docker compose up -d --build
curl -s http://localhost:8080/exploit/attack
docker compose down

Riepilogo della vulnerabilità

Avviso: https://camel.apache.org/security/CVE-2026-49365.html

Dichiarazione di non responsabilità

Questi riproduttori sono forniti esclusivamente per ricerca sulla sicurezza e test autorizzati, per una vulnerabilità divulgata pubblicamente e corretta. Non utilizzarli contro sistemi senza un'autorizzazione esplicita.