CVE-2026-85257
Apache Camel: раскрытие информации в Camel-CXF через неотключённые исключения потребителя
- Опубликовано
- 19 окт. 2026 г.
- Обновлено
- 19 окт. 2026 г.
- Назначение CNA
- apache
- Наблюдены доказательства
- 20 окт. 2026 г.
Первичный CVSS
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:NНизкий · следующие 30 дней
- Процентиль
- 35,6 %
- Дата модели
- 25 окт. 2026 г.
EPSS – это статистическая оценка, а не достоверность или мера воздействия. Объедините это с CVSS, статусом KEV, воздействием и вашей средой.
Резюме
Уязвимость генерации сообщения об ошибке, содержащего конфиденциальную информацию, в компоненте Apache Camel CXF. Проблема затрагивает Apache Camel: с 4.0.0 до 4.18.5, с 4.19.0 до 4.22.1. Когда маршрут за CXF SOAP-потребителем завершался с исключением, которое не объявлено в контракте сервиса, описание исключения возвращалось SOAP-клиенту в fault: CXF копирует сообщение в SOAP faultstring и может быть настроен на помещение трассировки стека в fault detail. Внешний вызывающий, способный спровоцировать сбой, мог таким образом прочитать внутренние сведения о развёртывании — имена классов и пакетов, а также всё, что содержит сообщение исключения. Объявленные faults, аннотированные @WebFault, — другое дело: они являются частью опубликованного контракта, под который пишутся клиенты, и их подавление сломало бы сервис, а не защитило бы что-либо. Обновитесь до Apache Camel 4.23.0, где проблема исправлена. Пользователям ветки LTS-релизов 4.18.x следует обновиться до 4.18.5. Пользователям ветки LTS-релизов 4.22.x следует обновиться до 4.22.1. Опция потребителя muteException, по умолчанию равная true, заменяет необъявленный сбой маршрута на обобщённый fault без имени класса, сообщения или трассировки стека. Faults, объявленные в контракте, сообщаются в точности как раньше. Установите muteException=false, чтобы восстановить прежний вывод. Для развёртываний, которые не могут обновиться немедленно, объявите исключения, которые сервису разрешено сообщать, и сопоставьте с одним из них любой другой сбой в обработчике onException, чтобы ни одно необъявленное исключение не попало в fault.
Источники
Работающий пример воспроизведения на Spring Boot и Quarkus для CVE-2026-85257, демонстрирующий раскрытие информации в SOAP-ошибках camel-cxf и проверяющий исправление muteException.
Ответственное использование
Используйте информацию об уязвимостях только в тех системах, которыми вы владеете или имеете право тестировать. Kitploit ссылается на метаданные общедоступных исследований и не хранит код эксплойта или вредоносные полезные данные.