CVE-2026-49365 — camel-netty-http / camel-undertow muteException 堆栈跟踪信息泄露

针对同一 Apache Camel 漏洞的可运行概念验证（PoC）复现程序，每种运行时各一个：

两者均属于受影响版本（已在 4.14.8 / 4.18.3 / 4.21.0 中修复），且都展示了完全相同的缺陷：在 camel-netty-http（以及 camel-undertow）中，muteException 选项的默认值为 false，因此任何处理错误都会将完整的 Java 堆栈跟踪返回给 HTTP 客户端——从而泄露内部后端主机名、数据库 URL、凭据/保险库提示、库版本和源代码位置（CWE-209）。jetty/servlet 和 platform-http 已将其默认值设为 true。

每个子目录都是一个自包含的项目，带有各自的 Dockerfile、docker-compose.yml 和 README。简而言之，对于任一项目：

cd camel-spring-boot   # or: cd camel-quarkus
mvn clean package
docker compose up -d --build
curl -s http://localhost:8080/exploit/attack
docker compose down

漏洞摘要

安全公告：https://camel.apache.org/security/CVE-2026-49365.html

免责声明

这些复现程序仅用于安全研究和授权测试，针对的是已公开披露并已修复的漏洞。未经明确许可，请勿将它们用于任何系统。