CVE-2026-85257

요약

Apache Camel CXF 구성 요소에서 민감한 정보가 포함된 오류 메시지 생성 취약점이 발생합니다. 이 문제는 Apache Camel 4.0.0부터 4.18.5 이전, 4.19.0부터 4.22.1 이전 버전에 영향을 미칩니다. CXF SOAP 컨슈머 뒤의 라우트가 서비스 계약에서 선언하지 않은 예외로 실패하면, 해당 예외가 fault를 통해 SOAP 클라이언트에 그대로 설명되었습니다. CXF는 메시지를 SOAP faultstring에 복사하며, 스택 트레이스를 fault detail에 배치하도록 구성할 수도 있습니다. 따라서 실패를 유발할 수 있는 외부 호출자는 배포 환경에 대한 내부 세부 정보, 즉 클래스 및 패키지 이름과 예외 메시지가 담고 있는 모든 내용을 읽을 수 있었습니다. @WebFault로 애노테이션된 선언된 fault는 별개의 문제입니다. 이는 클라이언트가 이를 기준으로 작성되는 공개된 계약의 일부이므로, 이를 억제하는 것은 무언가를 보호하는 것이 아니라 서비스를 망가뜨리는 일이 됩니다. 이 문제를 수정한 Apache Camel 4.23.0으로 업그레이드하십시오. 4.18.x LTS 릴리스 스트림 사용자는 4.18.5로 업그레이드해야 합니다. 4.22.x LTS 릴리스 스트림 사용자는 4.22.1로 업그레이드해야 합니다. 기본값이 true인 muteException 컨슈머 옵션은 선언되지 않은 라우트 실패를 클래스 이름, 메시지 또는 스택 트레이스를 포함하지 않는 일반 fault로 대체합니다. 계약에서 선언한 fault는 이전과 정확히 동일하게 보고됩니다. 이전 출력을 복원하려면 muteException=false로 설정하십시오. 즉시 업그레이드할 수 없는 배포 환경의 경우, 서비스가 보고하도록 허용된 예외를 선언하고 onException 핸들러에서 다른 모든 실패를 그중 하나로 매핑하여 선언되지 않은 예외가 fault에 도달하지 않도록 하십시오.

소스

• CVE-2026-85257PoC

  CVE-2026-85257에 대한 실행 가능한 Spring Boot 및 Quarkus 재현 프로그램으로, camel-cxf SOAP fault 정보 노출을 시연하고 muteException 수정 사항을 검증합니다.