CVE-2026-85257

Resumo

Vulnerabilidade de Geração de Mensagem de Erro Contendo Informações Sensíveis no componente Apache Camel CXF. Este problema afeta o Apache Camel: de 4.0.0 antes de 4.18.5, de 4.19.0 antes de 4.22.1. Quando uma rota por trás de um consumidor CXF SOAP falhava com uma exceção que o contrato de serviço não declarava, a exceção era descrita de volta ao cliente SOAP na fault: o CXF copia a mensagem para o faultstring do SOAP e pode ser configurado para colocar o stack trace no fault detail. Um chamador externo capaz de provocar uma falha poderia, portanto, ler detalhes internos sobre a implantação — nomes de classes e pacotes, e tudo o que a mensagem da exceção carrega. Faults declaradas, anotadas com @WebFault, são um caso diferente: fazem parte do contrato publicado contra o qual os clientes são escritos, e suprimi-las quebraria o serviço em vez de proteger qualquer coisa. Atualize para o Apache Camel 4.23.0, que corrige o problema. Usuários no fluxo de versões LTS 4.18.x devem atualizar para 4.18.5. Usuários no fluxo de versões LTS 4.22.x devem atualizar para 4.22.1. Uma opção de consumidor muteException, com valor padrão true, substitui uma falha de rota não declarada por uma fault genérica sem nome de classe, mensagem ou stack trace. As faults declaradas pelo contrato são reportadas exatamente como antes. Defina muteException=false para restaurar a saída anterior. Para implantações que não podem atualizar imediatamente, declare as exceções que o serviço tem permissão para reportar e mapeie todas as outras falhas para uma delas em um handler onException, para que nenhuma exceção não declarada chegue à fault.

Fontes

• CVE-2026-85257PoC

  Reprodutor executável em Spring Boot e Quarkus para a CVE-2026-85257, demonstrando a divulgação de informações em falhas SOAP do camel-cxf e verificando a correção muteException.