CVE-2026-85246

概要

Apache Camel Minaコンポーネントにおける、機密情報を含むエラーメッセージの生成に関する脆弱性。この問題はApache Camelの4.0.0から4.18.5未満、および4.19.0から4.22.1未満に影響します。exchangeの処理が失敗した際、Minaコンシューマーはexchange.getException()をそのままソケット経由でリモートピアに書き戻していました。textlineコーデックではピアに例外のクラス名とメッセージが渡され、objectコーデックではシリアライズされた例外が原因チェーンを含めて渡されます。したがって、障害を引き起こすことが可能なリモートピアは、デプロイメントに関する内部情報（クラス名やパッケージ名、さらにメッセージやネストされた原因がたまたま含むもの、実際にはパス、ホスト名、接続の詳細などが含まれ得る）を読み取ることができました。CAMEL-23651で対応されたHTTPファミリーのコンシューマーとは異なり、このコンシューマーにはこれを抑制するオプションがありませんでした。この問題を修正したApache Camel 4.23.0にアップグレードしてください。4.18.x LTSリリースストリームのユーザーは4.18.5にアップグレードしてください。4.22.x LTSリリースストリームのユーザーは4.22.1にアップグレードしてください。デフォルトでtrueとなるmuteExceptionコンシューマーオプションは、クラス名、メッセージ、スタックトレースを含まない汎用的な例外でルートの例外を置き換えますが、同期的なピアがタイムアウトしないよう応答は引き続き書き込みます。以前の動作に戻すにはmuteException=falseを設定してください。すぐにアップグレードできないデプロイメントでは、応答本文を明示的に設定するonExceptionハンドラーを追加し、フレームワークが例外をピアに書き戻さないようにしてください。

ソース

• CVE-2026-85246PoC

  CVE-2026-85246 の実行可能な Spring Boot 再現プログラムで、ソケット経由での camel-mina コンシューマー例外の情報漏洩を実演し、muteException 修正を検証します。