CVE-2026-85315

요약

Apache Camel gRPC 구성 요소에서 민감한 정보가 포함된 오류 메시지 생성 취약점. 이 문제는 Apache Camel에 영향을 미침: 4.0.0부터 4.18.5 이전, 4.19.0부터 4.22.1 이전. gRPC 컨슈머 뒤의 라우트가 실패했을 때, 예외의 메시지가 gRPC 상태 설명에 포함되었습니다. 서버에 로컬로 유지되는 상태 원인과 달리, 설명은 호출 클라이언트로 전송되므로, 실패를 유발할 수 있는 외부 호출자가 내부 오류 메시지를 읽을 수 있었습니다. 무엇이 노출되는지는 예외에 따라 다르며, 실제로는 메시지에 포함된 클래스 및 패키지 이름, 경로, 호스트 이름, 연결 세부 정보를 포함합니다. 이는 함께 발표된 knative, mina, CXF 보안 권고와 동일한 unmuted-consumer-exception 계열의 gRPC 구성원입니다. 이 문제를 수정한 Apache Camel 4.23.0으로 업그레이드하십시오. 4.18.x LTS 릴리스 스트림 사용자는 4.18.5로 업그레이드해야 합니다. 4.22.x LTS 릴리스 스트림 사용자는 4.22.1로 업그레이드해야 합니다. 기본값이 true인 muteException 컨슈머 옵션은 라우트 예외의 메시지 대신 일반적인 설명을 상태에 넣습니다. 이전 출력을 복원하려면 muteException=false로 설정하십시오. 즉시 업그레이드할 수 없는 배포의 경우, onException 핸들러에서 실패를 명시적 상태에 매핑하여 프레임워크가 예외 메시지를 설명에 복사하지 않도록 하십시오.

소스

• CVE-2026-85315PoC

  CVE-2026-85315에 대한 실행 가능한 개념 증명 재현기로, Camel Spring Boot 및 Quarkus에서 camel-grpc 컨슈머 예외 메시지 노출(CWE-209)을 시연합니다.