CVE-2026-85315

Резюме

Уязвимость генерации сообщения об ошибке, содержащего конфиденциальную информацию, в компоненте gRPC Apache Camel. Проблема затрагивает Apache Camel: с 4.0.0 до 4.18.5, с 4.19.0 до 4.22.1. Когда маршрут за gRPC-консьюмером завершался с ошибкой, сообщение исключения помещалось в описание статуса gRPC. В отличие от причины статуса, которая остаётся локальной на сервере, описание передаётся вызывающему клиенту, поэтому внешний вызывающий, способный спровоцировать сбой, мог прочитать внутреннее сообщение об ошибке. Что именно раскрывается, зависит от исключения и на практике включает имена классов и пакетов, пути, имена хостов и сведения о соединении, содержащиеся в сообщениях. Это gRPC-представитель того же семейства исключений консьюмера без заглушения, что и опубликованные вместе с ним рекомендации для knative, mina и CXF. Обновитесь до Apache Camel 4.23.0, где проблема исправлена. Пользователям ветки LTS 4.18.x следует обновиться до 4.18.5. Пользователям ветки LTS 4.22.x следует обновиться до 4.22.1. Опция консьюмера muteException со значением по умолчанию true помещает в статус общее описание вместо сообщения исключения маршрута. Установите muteException=false, чтобы восстановить прежнее поведение. Для развёртываний, которые не могут обновиться немедленно, сопоставляйте сбои с явным статусом в обработчике onException, чтобы фреймворк никогда не копировал сообщение исключения в описание.

Источники

• CVE-2026-85315PoC

  Работоспособный воспроизводитель proof-of-concept для CVE-2026-85315, демонстрирующий раскрытие сообщений об исключениях потребителя camel-grpc (CWE-209) в Camel Spring Boot и Quarkus.