CVE-2026-49365

요약

# 민감 정보를 포함한 오류 메시지 생성 취약점 (Apache Camel Netty HTTP 컴포넌트) Apache Camel Netty HTTP 컴포넌트에서 민감 정보를 포함한 오류 메시지 생성 취약점이 발생했습니다. camel-netty-http HTTP 서버 컨슈머는 라우트 처리 오류 발생 시 클라이언트에 반환되는 내용을 제어하는 `muteException` 옵션을 노출합니다. 이 옵션은 백킹 필드가 초기화되지 않은 기본형 boolean(Java의 기본값인 false)이었기 때문에 기본값이 false로 설정되었으며, 반면 다른 Camel HTTP 서버 컴포넌트(camel-http / camel-jetty / camel-servlet 및 camel-platform-http)는 기본값을 true로 설정합니다. `muteException=false`인 경우, 라우트 처리 중 요청이 예외를 트리거하면 컨슈머는 빈 본문을 반환하는 대신 전체 Throwable 스택 트레이스를 HTTP 응답 본문에 text/plain으로 작성합니다(DefaultNettyHttpBinding을 통해). 따라서 엔드포인트에 도달할 수 있고 처리 오류를 유발할 수 있는 모든 인증되지 않은 클라이언트(예: 잘못된 요청 본문, 잘못된 파라미터 전송 또는 라우트 내부 실패를 트리거하는 방식)는 완전한 Java 스택 트레이스를 수신하게 됩니다. 이러한 스택 트레이스는 예외 메시지에 포함된 자격 증명, 내부 호스트 이름 및 IP 주소, 파일 시스템 경로, 의존성 및 버전 정보, 데이터베이스 및 클래스 이름, 애플리케이션의 내부 구조 등 민감한 내부 정보를 노출할 수 있으며, 공격자는 이를 활용해 추가 공격을 계획할 수 있습니다. 이 문제는 Apache Camel의 다음 버전에 영향을 미칩니다: 4.0.0 이상 4.14.8 미만, 4.15.0 이상 4.18.3 미만, 4.19.0 이상 4.21.0 미만. 사용자는 이 문제를 해결한 버전 4.21.0으로 업그레이드하는 것이 권장됩니다. 4.14.x LTS 릴리스 스트림을 사용 중인 경우 4.14.8로 업그레이드하는 것이 좋습니다. 4.18.x 릴리스 스트림을 사용 중인 경우 4.18.3으로 업그레이드하는 것이 좋습니다. 즉시 업그레이드할 수 없는 배포 환경의 경우 camel-netty-http 컨슈머에서 `muteException=true`를 명시적으로 설정하여(예: `netty-http: http://0.0.0.0:8080/api?muteException=true`, 또는 `camel.component.netty-http.configuration.mute-exception=true` 속성을 통해 전역적으로 설정) 처리 오류가 더 이상 클라이언트에 스택 트레이스를 반환하지 않도록 해야 합니다.

소스

• CVE-2026-49365PoC

  CVE-2026-49365(Apache Camel camel-netty-http / camel-undertow)용 PoC 재현기: muteException의 기본값이 false이므로, 처리되지 않은 예외의 전체 Java 스택 트레이스가 HTTP 클라이언트에 반환됩니다(CWE-209). 4.14.8/4.18.3/4.21.0에서 수정되었습니다.