CVE-2026-85246

요약

Apache Camel Mina 구성 요소에서 민감한 정보가 포함된 오류 메시지 생성 취약점. 이 문제는 Apache Camel에 영향을 미침: 4.0.0부터 4.18.5 이전, 4.19.0부터 4.22.1 이전. exchange 처리가 실패했을 때, Mina consumer는 exchange.getException()을 소켓을 통해 원격 피어에 그대로 다시 기록했음. textline 코덱을 사용하면 피어에게 예외의 클래스 이름과 메시지를 전달하고, object 코덱을 사용하면 원인 체인을 포함한 직렬화된 예외를 전달함. 따라서 실패를 유발할 수 있는 원격 피어는 배포에 대한 내부 세부 정보(클래스 및 패키지 이름, 그리고 메시지나 중첩된 원인이 담고 있는 모든 것, 실제로는 경로, 호스트 이름, 연결 세부 정보를 포함할 수 있음)를 읽을 수 있었음. CAMEL-23651로 정렬된 HTTP 계열 consumer와 달리, 이 consumer에는 이를 억제할 옵션이 없었음. 이 문제를 수정한 Apache Camel 4.23.0으로 업그레이드할 것. 4.18.x LTS 릴리스 스트림 사용자는 4.18.5로 업그레이드해야 함. 4.22.x LTS 릴리스 스트림 사용자는 4.22.1로 업그레이드해야 함. 기본값이 true인 muteException consumer 옵션은 클래스 이름, 메시지 또는 스택 트레이스를 포함하지 않는 일반 예외로 라우트 예외를 대체하며, 동기 피어가 타임아웃되지 않도록 응답은 여전히 기록함. 이전 동작을 복원하려면 muteException=false로 설정할 것. 즉시 업그레이드할 수 없는 배포의 경우, 응답 본문을 명시적으로 설정하는 onException 핸들러를 추가하여 프레임워크가 예외를 피어에 다시 기록하지 않도록 할 것.

소스

• CVE-2026-85246PoC

  CVE-2026-85246에 대한 실행 가능한 Spring Boot 재현 프로젝트로, 소켓을 통한 camel-mina 컨슈머 예외 노출을 시연하고 muteException 수정 사항을 검증합니다.