CVE-2026-85257

概要

Apache Camel CXFコンポーネントにおける、機密情報を含むエラーメッセージの生成に関する脆弱性です。この問題はApache Camelに影響します: 4.0.0から4.18.5より前、4.19.0から4.22.1より前。CXF SOAPコンシューマーの背後にあるルートが、サービスコントラクトで宣言されていない例外で失敗した場合、その例外はfault内でSOAPクライアントに説明されていました: CXFはメッセージをSOAPのfaultstringにコピーし、スタックトレースをfault detailに配置するよう設定することもできます。したがって、障害を引き起こすことのできる外部の呼び出し元は、デプロイメントに関する内部の詳細、すなわちクラス名やパッケージ名、および例外メッセージが運ぶあらゆる内容を読み取ることができました。@WebFaultでアノテーションされた宣言済みのfaultは別の話です: これらはクライアントがそれに合わせて書かれる公開コントラクトの一部であり、これらを抑制することは何かを保護するのではなく、サービスを壊すことになります。この問題を修正したApache Camel 4.23.0にアップグレードしてください。4.18.x LTSリリースストリームのユーザーは4.18.5にアップグレードしてください。4.22.x LTSリリースストリームのユーザーは4.22.1にアップグレードしてください。デフォルトでtrueとなるmuteExceptionコンシューマーオプションは、宣言されていないルートの失敗を、クラス名、メッセージ、スタックトレースを含まない汎用的なfaultに置き換えます。コントラクトが宣言するfaultは、これまでとまったく同じように報告されます。以前の出力に戻すにはmuteException=falseを設定してください。すぐにアップグレードできないデプロイメントでは、サービスが報告を許可される例外を宣言し、それ以外のすべての失敗をonExceptionハンドラーでそれらのいずれかにマッピングすることで、宣言されていない例外がfaultに到達しないようにしてください。

ソース

• CVE-2026-85257PoC

  CVE-2026-85257 の再現可能な Spring Boot および Quarkus の再現プログラム。camel-cxf の SOAP フォールト情報漏洩を実証し、muteException 修正を検証します。