CVE-2026-85246

Резюме

Уязвимость генерации сообщения об ошибке, содержащего конфиденциальную информацию, в компоненте Apache Camel Mina. Проблема затрагивает Apache Camel: с 4.0.0 до 4.18.5, с 4.19.0 до 4.22.1. При неудачной обработке exchange потребитель Mina записывал exchange.getException() напрямую обратно в сокет удалённому узлу. При использовании текстового кодека (textline codec) удалённый узел получает имя класса и сообщение исключения; при использовании объектного кодека (object codec) ему передаётся сериализованное исключение вместе с цепочкой причин. Таким образом, удалённый узел, способный спровоцировать сбой, мог прочитать внутренние сведения о развёртывании — имена классов и пакетов, а также всё, что может содержать сообщение или вложенная причина, что на практике может включать пути, имена хостов и сведения о соединении. У потребителя не было возможности подавить это, в отличие от потребителей семейства HTTP, приведённых в соответствие в CAMEL-23651. Обновитесь до Apache Camel 4.23.0, где эта проблема исправлена. Пользователям ветки LTS 4.18.x следует обновиться до 4.18.5. Пользователям ветки LTS 4.22.x следует обновиться до 4.22.1. Опция потребителя muteException, по умолчанию равная true, заменяет исключение маршрута на обобщённое, не содержащее имени класса, сообщения или трассировки стека, при этом всё равно записывая ответ, чтобы синхронный узел не оставался в ожидании до тайм-аута. Установите muteException=false, чтобы восстановить прежнее поведение. Для развёртываний, которые не могут обновиться немедленно, добавьте обработчик onException, явно задающий тело ответа, чтобы фреймворк никогда не записывал исключение обратно удалённому узлу.

Источники

• CVE-2026-85246PoC

  Рабочий воспроизводитель на Spring Boot для CVE-2026-85246, демонстрирующий раскрытие исключений потребителя camel-mina через сокет и проверяющий исправление muteException.