CVE-2026-85315

总结

Apache Camel gRPC 组件中存在生成包含敏感信息的错误消息漏洞。此问题影响 Apache Camel：从 4.0.0 到 4.18.5 之前，从 4.19.0 到 4.22.1 之前。当 gRPC 消费者背后的路由失败时，异常的消息会被放入 gRPC 状态描述中。与仅保留在服务器本地的状态原因不同，描述会被传输给调用客户端，因此能够引发故障的外部调用者可以读取内部错误消息。所披露的内容取决于异常，实践中包括消息中携带的类名和包名、路径、主机名和连接详细信息。这是与同时发布的 knative、mina 和 CXF 公告同属未静默消费者异常家族的 gRPC 成员。请升级到 Apache Camel 4.23.0，该版本修复了此问题。使用 4.18.x LTS 发布流的用户应升级到 4.18.5。使用 4.22.x LTS 发布流的用户应升级到 4.22.1。muteException 消费者选项默认值为 true，会在状态中放入通用描述，而不是路由异常的消息。将 muteException 设置为 false 可恢复之前的输出。对于无法立即升级的部署，请在 onException 处理器中将故障映射到显式状态，以便框架永远不会将异常消息复制到描述中。

来源

• CVE-2026-85315PoC

  CVE-2026-85315 的可运行概念验证复现程序，演示 Camel Spring Boot 和 Quarkus 中 camel-grpc 消费者异常消息泄露（CWE-209）。