CVE-2026-84180

요약

Apache Camel Knative 컴포넌트에서 민감한 정보가 포함된 오류 메시지 생성 취약점이 발생합니다. 이 문제는 Apache Camel 4.0.0부터 4.18.5 이전, 4.19.0부터 4.22.1 이전 버전에 영향을 미칩니다. 소비자 측에서 exchange 처리가 실패하면 Knative HTTP 소비자가 결과 예외를 클래스 이름, 메시지, 스택 트레이스를 포함하여 응답 본문으로 원격 호출자에게 다시 기록했습니다. 따라서 외부 발신자가 실패를 유발하고 배포에 대한 내부 세부 정보(클래스 및 패키지 이름, 예외 메시지에 포함된 파일 시스템 또는 호스트 이름, 라우트의 구조)를 읽을 수 있었습니다. 이러한 세부 정보는 보다 표적화된 공격을 구성하는 데 유용하며, 예외 메시지에 구성이나 연결 문자열이 포함된 경우 그 자체로 정보 노출입니다. camel-knative는 CAMEL-23651에 의해 다른 HTTP 소비자에 대해 확립된 muteException 동작과 정렬되지 않은 마지막 HTTP 계열 소비자였습니다. 이 문제를 수정한 Apache Camel 4.23.0으로 업그레이드하십시오. 4.18.x LTS 릴리스 스트림 사용자는 4.18.5로 업그레이드해야 합니다. 4.22.x LTS 릴리스 스트림 사용자는 4.22.1로 업그레이드해야 합니다. 이제 소비자는 기본값이 true인 muteException 옵션을 준수하므로, 라우트 실패 시 예외 대신 오류 상태와 함께 빈 본문을 반환합니다. 이전 출력을 복원하려면 muteException=false로 설정하십시오. 즉시 업그레이드할 수 없는 배포의 경우, 응답 본문을 명시적으로 설정하는 onException 핸들러를 추가하여 프레임워크가 예외를 호출자에게 다시 기록하지 않도록 하십시오.

소스

• CVE-2026-84180PoC

  CVE-2026-84180에 대한 실행 가능한 Spring Boot 및 Quarkus 재현 프로그램으로, camel-knative HTTP 컨슈머 예외 누출을 시연하고 muteException 수정 사항을 검증합니다.