CVE-2026-84180

总结

Apache Camel Knative 组件中存在错误消息包含敏感信息的漏洞。此问题影响 Apache Camel：从 4.0.0 到 4.18.5 之前，从 4.19.0 到 4.22.1 之前。当消费者端处理交换失败时，Knative HTTP 消费者会将产生的异常作为响应体写回远程调用方，包括其类名、消息和堆栈跟踪。因此，外部发送者可以引发故障并读取有关部署的内部细节：异常消息中携带的类和包名、文件系统或主机名，以及路由的结构。这些细节有助于构建更有针对性的攻击，而当异常消息中嵌入配置或连接字符串时，这本身就是一种信息泄露。camel-knative 是最后一个尚未与 CAMEL-23651 为其他 HTTP 消费者确立的 muteException 行为保持一致的 HTTP 系列消费者。请升级到 Apache Camel 4.23.0，该版本修复了此问题。使用 4.18.x LTS 发布流的用户应升级到 4.18.5。使用 4.22.x LTS 发布流的用户应升级到 4.22.1。该消费者现在遵循 muteException 选项，该选项默认为 true，因此路由失败时会返回带有错误状态的空响应体，而不是异常。将 muteException 设置为 false 可恢复之前的输出。对于无法立即升级的部署，请添加一个 onException 处理器，显式设置响应体，以便框架永远不会将异常写回调用方。

来源

• CVE-2026-84180PoC

  针对 CVE-2026-84180 的可运行 Spring Boot 和 Quarkus 复现程序，演示 camel-knative HTTP 消费者异常泄漏，并验证 muteException 修复。