CVE-2026-49365

Resumo

# Vulnerabilidade de Geração de Mensagem de Erro Contendo Informações Sensíveis no componente Apache Camel Netty HTTP O consumidor do servidor HTTP camel-netty-http expõe uma opção `muteException` que controla o que é retornado ao cliente quando ocorre um erro no processamento de uma rota. Esta opção tinha como padrão `false` porque o campo de suporte era um booleano primitivo não inicializado (o padrão de `false` do Java), enquanto os outros componentes de servidor HTTP do Camel (camel-http / camel-jetty / camel-servlet e camel-platform-http) têm como padrão `true`. Com `muteException=false`, quando uma requisição dispara uma exceção durante o processamento da rota, o consumidor escreve o stack trace completo do `Throwable` no corpo da resposta HTTP como `text/plain` (via `DefaultNettyHttpBinding`) em vez de retornar um corpo vazio. Qualquer cliente não autenticado que consiga alcançar o endpoint e causar um erro de processamento — por exemplo, enviando um corpo de requisição malformado, um parâmetro inválido ou de outra forma disparando uma falha interna da rota — recebe, portanto, um stack trace Java completo. Tal stack trace pode divulgar informações internas sensíveis, incluindo credenciais embutidas em mensagens de exceção, nomes de host e endereços IP internos, caminhos de sistema de arquivos, detalhes de dependências e versões, nomes de bancos de dados e classes, e a estrutura interna da aplicação, que um atacante pode usar para planejar ataques adicionais. Este problema afeta o Apache Camel: de 4.0.0 antes de 4.14.8, de 4.15.0 antes de 4.18.3, de 4.19.0 antes de 4.21.0. Recomenda-se que os usuários atualizem para a versão 4.21.0, que corrige o problema. Se os usuários estiverem no fluxo de versões LTS 4.14.x, sugere-se que atualizem para 4.14.8. Se os usuários estiverem no fluxo de versões 4.18.x, sugere-se que atualizem para 4.18.3. Para implantações que não podem atualizar imediatamente, defina `muteException=true` explicitamente no consumidor camel-netty-http (por exemplo, `netty-http: http://0.0.0.0:8080/api?muteException=true`, ou globalmente via a propriedade `camel.component.netty-http.configuration.mute-exception=true`), para que erros de processamento não retornem mais o stack trace ao cliente.