CVE-2026-101259

概要

Apache Camel の CoAP コンポーネントにおける、機密情報を含むエラーメッセージの生成に関する脆弱性です。この問題は Apache Camel の 4.0.0 から 4.18.5 未満、および 4.19.0 から 4.22.2 未満に影響します。ルートの完了後に CoAP コンシューマーがレスポンスを構築できなかった場合、CamelCoapResource は発生した例外を捕捉し、そのメッセージを 5.00 Internal Server Error レスポンスのペイロードとして CoAP クライアントに返していました。典型的なケースは型変換の失敗です。コンシューマーは、ルートが戻った後、すなわちルートのエラーハンドラーの外側で、最終メッセージボディを byte[] ペイロードに、また CamelCoapMaxAge および CamelCoapETag ヘッダーをそれぞれの型に変換します。影響を受けるリリースでは、このような失敗のメッセージには変換対象の値のクラス名が含まれ、値の文字列表現が含まれ、さらに根本原因のクラス名とメッセージで終わるため、リモートの CoAP クライアントがデプロイメントに関する内部の詳細を読み取ることができました。すなわち、クラス名とパッケージ名、値の文字列表現（ファイルボディのパスなど）、および原因が保持する内容であり、実際にはバックエンドのパス、ホスト名、接続の詳細などが含まれる可能性があります。コンシューマーにはこれを抑制するオプションがありませんでした。これに対し HTTP コンシューマーには、その目的のための muteException オプションがあります。失敗したルートによって発生した例外は送信されませんでした。コンシューマーは exchange が失敗したかどうかを確認せず、ルートの失敗に対して 2.05 Content とその時点でメッセージが保持していたボディを返していました。したがって、この情報漏えいに到達するには、リモートクライアントが完了済みのレスポンスを変換不能にできるルートが必要であり、それはルートの書き方に依存します。ユーザーは、この問題を修正したバージョン 4.23.0 へのアップグレードを推奨されます。4.22.x リリースストリームを使用している場合は 4.22.2 へのアップグレードを推奨します。4.18.x リリースストリームを使用している場合は 4.18.5 へのアップグレードを推奨します。4.14.x リリースストリーム以前、および 4.15.x から 4.17.x、4.19.x から 4.21.x のリリースラインは、この問題が解決される前にサポート終了となっており、修正は提供されないため、これらのデプロイメントはサポート対象のリリースへ移行する必要があります。アップグレードのみで十分です。新しい muteException コンシューマーオプションは、修正された 3 つのリリースラインすべてでデフォルトが true であるため、設定を変更しなくてもエラーレスポンスにペイロードは含まれません。すぐにアップグレードできないデプロイメントでは、ルートの完了後にレスポンスを常に構築できるようにしてください。coap エンドポイントから消費する各ルートの最後のステップで、たとえば convertBodyTo を用いてボディを byte[] または String に変換し、CamelCoapMaxAge および CamelCoapETag ヘッダーにはそれぞれの型の値のみを設定し、さらに失敗を処理済みとしてマークしレスポンスボディを明示的に設定する onException ハンドラーを追加してください。これにより、変換の失敗はコンシューマー内ではなくルート内で発生し置き換えられます。

ソース

• CVE-2026-101259PoC

  CVE-2026-101259 の実行可能な概念実証（PoC）再現ツール。Spring Boot および Quarkus 上の Apache Camel camel-coap コンシューマーにおけるエラーメッセージの漏洩を実証し、修正の検証も行います。