CVE-2026-84180

Резюме

Уязвимость генерации сообщения об ошибке, содержащего конфиденциальную информацию, в компоненте Apache Camel Knative. Проблема затрагивает Apache Camel: с 4.0.0 до 4.18.5, с 4.19.0 до 4.22.1. Когда обработка обмена (exchange) завершалась ошибкой на стороне потребителя, HTTP-потребитель Knative записывал возникшее исключение обратно удалённому вызывающему в качестве тела ответа, включая имя класса, сообщение и трассировку стека. Таким образом, внешний отправитель мог спровоцировать сбой и прочитать внутренние сведения о развёртывании: имена классов и пакетов, имена файловых систем или хостов, содержащиеся в сообщениях исключений, а также структуру маршрута. Эти сведения полезны для построения более целенаправленной атаки, а если сообщение исключения содержит конфигурацию или строки подключения, это является раскрытием информации само по себе. camel-knative был последним потребителем семейства HTTP, который не был приведён в соответствие с поведением muteException, установленным для других HTTP-потребителей в CAMEL-23651. Обновитесь до Apache Camel 4.23.0, где эта проблема исправлена. Пользователям ветки LTS-релизов 4.18.x следует обновиться до 4.18.5. Пользователям ветки LTS-релизов 4.22.x следует обновиться до 4.22.1. Теперь потребитель учитывает опцию muteException, которая по умолчанию равна true, поэтому при сбое маршрута возвращается пустое тело с кодом ошибки вместо исключения. Установите muteException=false, чтобы восстановить прежнее поведение. Для развёртываний, которые не могут обновиться немедленно, добавьте обработчик onException, который явно задаёт тело ответа, чтобы фреймворк никогда не записывал исключение обратно вызывающему.

Источники

• CVE-2026-84180PoC

  Работоспособные репродьюсеры на Spring Boot и Quarkus для CVE-2026-84180, демонстрирующие утечку исключений HTTP-консьюмера camel-knative и проверяющие исправление muteException.