CVE-2026-85315

概要

Apache Camel gRPCコンポーネントにおける、機密情報を含むエラーメッセージの生成に関する脆弱性。この問題はApache Camelに影響します: 4.0.0から4.18.5より前、4.19.0から4.22.1より前。gRPCコンシューマーの背後にあるルートが失敗した際、例外のメッセージがgRPCステータスの説明に設定されていました。サーバー側に留まるステータスの原因とは異なり、説明は呼び出し元のクライアントに送信されるため、失敗を引き起こすことのできる外部の呼び出し元が内部のエラーメッセージを読み取る可能性がありました。何が開示されるかは例外に依存し、実際にはメッセージに含まれるクラス名やパッケージ名、パス、ホスト名、接続の詳細が含まれます。これは、同時に公開されたknative、mina、CXFのアドバイザリと同じunmuted-consumer-exceptionファミリーのgRPC版です。この問題を修正したApache Camel 4.23.0にアップグレードしてください。4.18.x LTSリリースストリームのユーザーは4.18.5にアップグレードしてください。4.22.x LTSリリースストリームのユーザーは4.22.1にアップグレードしてください。デフォルトでtrueとなるmuteExceptionコンシューマーオプションは、ルートの例外メッセージの代わりに汎用的な説明をステータスに設定します。以前の出力に戻すにはmuteException=falseを設定してください。すぐにアップグレードできないデプロイメントでは、onExceptionハンドラーで失敗を明示的なステータスにマッピングすることで、フレームワークが例外メッセージを説明にコピーしないようにできます。

ソース

• CVE-2026-85315PoC

  CVE-2026-85315 の実行可能な概念実証（PoC）再現ツール。Camel Spring Boot および Quarkus における camel-grpc コンシューマーの例外メッセージ漏洩（CWE-209）を実証します。