CVE-2026-84180

Resumo

Vulnerabilidade de Geração de Mensagem de Erro Contendo Informações Sensíveis no componente Apache Camel Knative. Este problema afeta o Apache Camel: de 4.0.0 até antes de 4.18.5, de 4.19.0 até antes de 4.22.1. Quando o processamento de um exchange falhava no lado do consumidor, o consumidor HTTP Knative gravava a exceção resultante de volta ao chamador remoto como corpo da resposta, incluindo o nome da classe, a mensagem e o stack trace. Um remetente externo poderia, portanto, provocar uma falha e ler detalhes internos sobre a implantação: nomes de classes e pacotes, nomes de sistemas de arquivos ou de hosts presentes nas mensagens de exceção, e a estrutura da rota. Esses detalhes são úteis para construir um ataque mais direcionado e, quando uma mensagem de exceção incorpora configuração ou strings de conexão, trata-se de divulgação por si só. O camel-knative era o consumidor restante da família HTTP que ainda não havia sido alinhado ao comportamento muteException estabelecido para os outros consumidores HTTP pelo CAMEL-23651. Atualize para o Apache Camel 4.23.0, que corrige o problema. Usuários do fluxo de versões LTS 4.18.x devem atualizar para 4.18.5. Usuários do fluxo de versões LTS 4.22.x devem atualizar para 4.22.1. O consumidor agora respeita uma opção muteException que tem como padrão true, de modo que uma falha na rota retorna um corpo vazio com o status de erro em vez da exceção. Defina muteException=false para restaurar a saída anterior. Para implantações que não podem atualizar imediatamente, adicione um handler onException que defina o corpo da resposta explicitamente, para que o framework nunca grave a exceção de volta ao chamador.

Fontes

• CVE-2026-84180PoC

  Reprodutores executáveis em Spring Boot e Quarkus para a CVE-2026-84180, demonstrando o vazamento de exceções do consumidor HTTP do camel-knative e verificando a correção muteException.