CVE-2026-49365 — раскрытие stack trace через muteException в camel-netty-http / camel-undertow

Рабочие proof-of-concept воспроизведения одной и той же уязвимости Apache Camel, по одному на каждый рантайм:

Обе версии — затронутые (исправлено в 4.14.8 / 4.18.3 / 4.21.0), и обе демонстрируют идентичный дефект: опция muteException поставляется со значением по умолчанию false в camel-netty-http (и camel-undertow), поэтому при любой ошибке обработки HTTP-клиенту возвращается полный Java stack trace — раскрывая внутренние имена хостов бэкенда, URL баз данных, подсказки об учётных данных/секретах, версии библиотек и местоположения в исходном коде (CWE-209). В jetty/servlet и platform-http она по умолчанию уже установлена в true.

Каждый подкаталог — это самостоятельный проект со своими Dockerfile, docker-compose.yml и README. Если кратко, для любого из них:

cd camel-spring-boot   # or: cd camel-quarkus
mvn clean package
docker compose up -d --build
curl -s http://localhost:8080/exploit/attack
docker compose down

Сводка по уязвимости

Консультация: https://camel.apache.org/security/CVE-2026-49365.html

Отказ от ответственности

Эти воспроизведения предоставлены только для исследований в области безопасности и авторизованного тестирования публично раскрытой и исправленной уязвимости. Не используйте их против систем без явного разрешения.