CVE-2026-85246

总结

Apache Camel Mina 组件中存在生成包含敏感信息的错误消息漏洞。此问题影响 Apache Camel：从 4.0.0 到 4.18.5 之前，从 4.19.0 到 4.22.1 之前。当 exchange 处理失败时，Mina 消费者会直接将 exchange.getException() 通过套接字写回给远程对端。在 textline 编解码器下，这会将异常的类名和消息交给对端；在 object 编解码器下，则会交出序列化的异常，包括原因链。因此，能够引发故障的远程对端可以读取有关部署的内部细节——类名和包名，以及消息或嵌套原因恰好携带的任何内容，实践中可能包括路径、主机名和连接详情。与 CAMEL-23651 对齐的 HTTP 系列消费者不同，该消费者没有选项来抑制此行为。请升级到 Apache Camel 4.23.0，该版本修复了此问题。使用 4.18.x LTS 发布流的用户应升级到 4.18.5。使用 4.22.x LTS 发布流的用户应升级到 4.22.1。新增的 muteException 消费者选项默认值为 true，会用不携带类名、消息或堆栈跟踪的通用异常替换路由异常，同时仍会写入回复，以免同步对端因等待而超时。将 muteException 设置为 false 可恢复之前的行为。对于无法立即升级的部署，请添加一个 onException 处理器，显式设置回复正文，这样框架就永远不会将异常写回给对端。

来源

• CVE-2026-85246PoC

  针对 CVE-2026-85246 的可运行 Spring Boot 复现程序，演示 camel-mina 消费者通过 socket 泄露异常，并验证 muteException 修复。