CVE-2026-85315

Resumo

Vulnerabilidade de geração de mensagem de erro contendo informações sensíveis no componente gRPC do Apache Camel. Este problema afeta o Apache Camel: de 4.0.0 até antes de 4.18.5, de 4.19.0 até antes de 4.22.1. Quando uma rota por trás de um consumidor gRPC falhava, a mensagem da exceção era colocada na descrição do status gRPC. Diferentemente da causa do status, que permanece local ao servidor, a descrição é transmitida ao cliente que fez a chamada, de modo que um chamador externo capaz de provocar uma falha poderia ler a mensagem de erro interna. O que isso divulga depende da exceção e, na prática, inclui nomes de classes e pacotes, caminhos, nomes de host e detalhes de conexão contidos nas mensagens. Este é o membro gRPC da mesma família de exceções de consumidor não silenciadas que os avisos knative, mina e CXF publicados junto a ele. Atualize para o Apache Camel 4.23.0, que corrige o problema. Usuários do fluxo de versões LTS 4.18.x devem atualizar para 4.18.5. Usuários do fluxo de versões LTS 4.22.x devem atualizar para 4.22.1. Uma opção de consumidor muteException, com valor padrão true, coloca uma descrição genérica no status em vez da mensagem da exceção da rota. Defina muteException=false para restaurar a saída anterior. Para implantações que não podem atualizar imediatamente, mapeie as falhas para um status explícito em um manipulador onException para que o framework nunca copie a mensagem da exceção para a descrição.

Fontes

• CVE-2026-85315PoC

  Reprodutor de prova de conceito executável para CVE-2026-85315, demonstrando a divulgação de mensagens de exceção do consumidor camel-grpc (CWE-209) no Camel Spring Boot e Quarkus.