CVE-2026-85257

总结

Apache Camel CXF 组件中存在错误消息包含敏感信息的漏洞。此问题影响 Apache Camel：从 4.0.0 到 4.18.5 之前，从 4.19.0 到 4.22.1 之前。当 CXF SOAP 消费者后面的路由因服务契约未声明的异常而失败时，该异常会被回传给 SOAP 客户端并写入 fault：CXF 会将消息复制到 SOAP faultstring 中，并且可以配置为将堆栈跟踪放入 fault detail。因此，能够引发故障的外部调用者可以读取有关部署的内部细节——类名和包名，以及异常消息所携带的任何内容。已声明的故障（使用 @WebFault 注解）则另当别论：它们是已发布契约的一部分，客户端正是针对该契约编写的，抑制它们会破坏服务，而不是保护任何东西。升级到 Apache Camel 4.23.0，该版本修复了此问题。使用 4.18.x LTS 发布流的用户应升级到 4.18.5。使用 4.22.x LTS 发布流的用户应升级到 4.22.1。muteException 消费者选项默认值为 true，会将未声明的路由失败替换为不包含类名、消息或堆栈跟踪的通用故障。契约声明的故障仍与之前一样报告。设置 muteException=false 可恢复之前的输出。对于无法立即升级的部署，请声明服务允许报告的异常，并在 onException 处理器中将所有其他失败映射到其中之一，这样就不会有未声明的异常进入 fault。

来源

• CVE-2026-85257PoC

  针对 CVE-2026-85257 的可运行 Spring Boot 和 Quarkus 复现程序，演示 camel-cxf SOAP 故障信息泄露并验证 muteException 修复。