CVE-2026-101259

요약

Apache Camel CoAP 구성 요소에서 민감한 정보가 포함된 오류 메시지가 생성되는 취약점입니다. 이 문제는 Apache Camel 4.0.0부터 4.18.5 이전, 4.19.0부터 4.22.2 이전 버전에 영향을 미칩니다. 라우트가 완료된 후 CoAP 컨슈머가 응답을 생성할 수 없을 때, CamelCoapResource는 발생한 예외를 포착하여 그 메시지를 5.00 Internal Server Error 응답의 페이로드로 CoAP 클라이언트에 다시 전송했습니다. 전형적인 사례는 타입 변환 실패입니다. 컨슈머는 라우트가 반환된 후, 즉 라우트의 오류 핸들러 범위 밖에서 최종 메시지 본문을 byte[] 페이로드로, CamelCoapMaxAge 및 CamelCoapETag 헤더를 각자의 타입으로 변환합니다. 영향을 받는 릴리스에서는 이러한 실패의 메시지가 변환되는 값의 클래스 이름을 명시하고, 값의 문자열 표현을 포함하며, 기저 원인의 클래스 이름과 메시지로 끝나므로, 원격 CoAP 클라이언트가 배포에 관한 내부 세부 정보를 읽을 수 있었습니다. 즉 클래스 및 패키지 이름, 값의 문자열 표현(예: 파일 본문의 경로), 그리고 원인이 담고 있는 모든 것(실제로는 백엔드의 경로, 호스트 이름, 연결 세부 정보를 포함할 수 있음)입니다. 컨슈머에는 이를 억제할 옵션이 없었으며, 이러한 목적으로 muteException 옵션을 제공하는 HTTP 컨슈머와는 달랐습니다. 실패한 라우트에서 발생한 예외는 전송되지 않았습니다. 컨슈머는 교환이 실패했는지 확인하지 않았고, 라우트 실패에 대해 2.05 Content와 그 시점에 메시지가 담고 있던 본문을 그대로 응답했습니다. 따라서 이 정보 노출에 도달하려면 원격 클라이언트가 완료된 응답을 변환 불가능하게 만들 수 있는 라우트가 필요하며, 이는 라우트가 어떻게 작성되었는지에 따라 달라집니다. 사용자는 이 문제를 수정한 버전 4.23.0으로 업그레이드할 것을 권장합니다. 4.22.x 릴리스 스트림을 사용 중인 경우 4.22.2로 업그레이드할 것을 권장합니다. 4.18.x 릴리스 스트림을 사용 중인 경우 4.18.5로 업그레이드할 것을 권장합니다. 4.14.x 릴리스 스트림 및 그 이전 버전, 그리고 4.15.x~4.17.x 및 4.19.x~4.21.x 릴리스 라인은 이 문제가 해결되기 전에 지원이 종료되었으며 수정 사항을 받지 못하므로, 해당 버전의 배포는 지원되는 릴리스로 이동해야 합니다. 업그레이드만으로 충분합니다. 새로운 muteException 컨슈머 옵션은 세 개의 수정된 릴리스 라인 모두에서 기본값이 true이므로, 구성 변경 없이도 오류 응답에 페이로드가 포함되지 않습니다. 즉시 업그레이드할 수 없는 배포의 경우, 라우트가 완료된 후 응답이 항상 생성될 수 있도록 하십시오. coap 엔드포인트에서 메시지를 소비하는 각 라우트의 마지막 단계에서 본문을 byte[] 또는 String으로 변환하고(예: convertBodyTo 사용), CamelCoapMaxAge 및 CamelCoapETag 헤더에는 각자의 타입에 해당하는 값만 부여하며, 실패를 처리됨으로 표시하고 응답 본문을 명시적으로 설정하는 onException 핸들러를 추가하여, 변환 실패가 컨슈머가 아닌 라우트 내부에서 발생하고 대체되도록 하십시오.

소스

• CVE-2026-101259PoC

  Spring Boot와 Quarkus에서 Apache Camel camel-coap 컨슈머의 오류 메시지 노출을 시연하고 수정 사항 검증까지 포함하는 CVE-2026-101259용 실행 가능한 개념 증명(PoC) 재현기입니다.