CVE-2026-85246

Resumo

Vulnerabilidade de Geração de Mensagem de Erro Contendo Informações Sensíveis no componente Apache Camel Mina. Este problema afeta o Apache Camel: de 4.0.0 antes de 4.18.5, de 4.19.0 antes de 4.22.1. Quando o processamento de um exchange falhava, o consumidor Mina gravava exchange.getException() diretamente de volta pelo socket para o par remoto. Sobre um codec textline, isso entrega ao par o nome da classe e a mensagem da exceção; sobre o codec de objetos, entrega a exceção serializada, incluindo a cadeia de causas. Um par remoto capaz de provocar uma falha poderia, portanto, ler detalhes internos sobre a implantação — nomes de classes e pacotes, e o que quer que uma mensagem ou causa aninhada carregue, o que na prática pode incluir caminhos, nomes de host e detalhes de conexão. O consumidor não tinha opção de suprimir isso, ao contrário dos consumidores da família HTTP alinhados pelo CAMEL-23651. Atualize para o Apache Camel 4.23.0, que corrige o problema. Usuários do fluxo de versões LTS 4.18.x devem atualizar para 4.18.5. Usuários do fluxo de versões LTS 4.22.x devem atualizar para 4.22.1. Uma opção de consumidor muteException, com valor padrão true, substitui a exceção da rota por uma genérica que não carrega nome de classe, mensagem ou stack trace, ainda gravando uma resposta para que um par síncrono não fique esperando até o timeout. Defina muteException=false para restaurar o comportamento anterior. Para implantações que não podem atualizar imediatamente, adicione um handler onException que defina explicitamente o corpo da resposta, para que o framework nunca grave a exceção de volta ao par.

Fontes

• CVE-2026-85246PoC

  Reprodutor Spring Boot executável para CVE-2026-85246, demonstrando a divulgação de exceções do consumidor camel-mina pelo socket e verificando a correção muteException.