CVE-2026-84180

概要

Apache Camel Knativeコンポーネントにおける、機密情報を含むエラーメッセージの生成に関する脆弱性。この問題はApache Camelの4.0.0から4.18.5より前、および4.19.0から4.22.1より前に影響します。コンシューマー側でexchangeの処理が失敗した際、Knative HTTPコンシューマーは結果として生じた例外を、そのクラス名、メッセージ、スタックトレースを含めてレスポンスボディとしてリモートの呼び出し元に書き戻していました。したがって、外部の送信者は障害を引き起こし、デプロイメントに関する内部の詳細（クラス名やパッケージ名、例外メッセージに含まれるファイルシステム名やホスト名、ルートの構造）を読み取ることができました。こうした詳細はより標的を絞った攻撃を組み立てるのに有用であり、例外メッセージに設定や接続文字列が埋め込まれている場合には、それ自体が情報漏えいとなります。camel-knativeは、CAMEL-23651によって他のHTTPコンシューマーに対して確立されたmuteExceptionの動作に合わせられていなかった、最後のHTTPファミリーのコンシューマーでした。この問題を修正するApache Camel 4.23.0にアップグレードしてください。4.18.x LTSリリースストリームのユーザーは4.18.5にアップグレードする必要があります。4.22.x LTSリリースストリームのユーザーは4.22.1にアップグレードする必要があります。コンシューマーはデフォルトでtrueとなるmuteExceptionオプションを尊重するようになったため、ルートの失敗時には例外ではなくエラーステータスと空のボディが返されます。以前の出力に戻すにはmuteException=falseを設定してください。すぐにアップグレードできないデプロイメントでは、レスポンスボディを明示的に設定するonExceptionハンドラーを追加し、フレームワークが例外を呼び出し元に書き戻さないようにしてください。

ソース

• CVE-2026-84180PoC

  CVE-2026-84180 の再現用に実行可能な Spring Boot および Quarkus の再現プログラムで、camel-knative HTTP コンシューマーにおける例外漏洩を実演し、muteException 修正を検証します。