Apache Camel netty-http Information Disclosure Vulnerability (CVE-2026-49365)

漏洞概述 CVE-2026-49365 严重性: 中等 摘要: Camel-Netty-HTTP 的 选项默认为 ，导致在处理错误时返回完整的 Java 堆栈跟踪信息，向未授权客户端泄露敏感内部信息。 描述: Camel-netty-http HTTP 服务器消费者暴露了一个 选项，控制路由处理错误时返回给客户端的内容。该选项默认为 ，因为 backing field 是一个未初始化的原始布尔值（Java 的默认值为 ），而其他 Camel HTTP 服务器组件（camel-http / camel-jetty / camel-servlet 和 camel-platform-http）默认为 。当 时，请求触发异常期间路由处理，消费者将完整的 Throwables 堆栈跟踪作为文本/纯文本（通过 DefaultNettyHttpBinding）写入 HTTP 响应体，而不是返回空响应体。任何未授权客户端如果到达端点并导致处理错误（例如发送格式错误的请求体、无效参数或触发路由内部错误），则会收到完整的 Java 堆栈跟踪。这样的堆栈跟踪可能泄露敏感内部信息，包括嵌入在异常消息中的凭据、内部主机名和 IP 地址、文件系统路径、依赖项和版本详情、数据库和类名称以及应用程序的内部结构，攻击者可以利用这些信息进行进一步攻击。 影响范围 受影响的版本: - 从 4.0.0 到 4.14.8 - 从 4.15.0 到 4.18.3 - 从 4.19.0 到 4.21.0 修复方案 已修复的版本: 4.14.8、4.18.3 和 4.21.0 缓解措施 用户建议升级到 4.21.0，该版本修复了问题。如果用户使用的是 4.14.x LTS 发布流，则建议升级到 4.14.8。如果用户使用的是 4.18.x 发布流，则建议升级到 4.18.3。对于无法立即升级的部署，可以在 camel-netty-http 消费者上显式设置 （例如 ），或者通过 camel.component.netty-http.configuration.muteException=true 属性全局设置，这样处理错误不再向客户端返回堆栈跟踪。 参考 PGP 签名的公告数据: CVE-2026-49365.txt.asc Mitre CVE 条目: CVE-2026-49365 备注 JIRA 票证: CAMEL-23651 指的是解决该问题的各种提交，并有更多详细信息。修复已合并到主分支并回溯到 camel-4.18.x。修复对齐了 camel-netty-http 与其他 Camel HTTP 服务器组件的 消费者选项默认值，将两者从 翻转为 。这是一个默认收紧的行为变更： 优先于 ，因此依赖接收异常（例如 ）的 camel-netty-http 路由现在也必须显式设置 （记录在 4.21 升级指南中作为潜在破坏性更改）。问题是 CVE-2026-49365（生成包含敏感信息的错误消息）且是一个不安全的敏感信息泄露问题：camel-netty-http 默认将 设置为 （backing field 是一个未初始化的原始布尔值），而 camel-http / camel-jetty / camel-servlet 和 camel-platform-http 默认为 。相同的 camel-undertow 中的相同默认问题在 CVE-2026-56135 中单独解决，两个公告共享相同的修复（CAMEL-23651）。 信用 此问题由 PayPal 的 Yu Bao 发现。

目標達成 すべての支援者に感謝 — 100%達成しました！

Apache Camel netty-http Information Disclosure Vulnerability (CVE-2026-49365)

目標達成すべての支援者に感謝 — 100%達成しました！