Średni Oczekuje na analizę

CVE-2026-101259

opublikowano: 26.10.2026, 10:16

modyfikacja: 26.10.2026, 14:42

Ocena CVSS

5.3

Średni · v3.1

Oficjalne źródła

wektor: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N

>_ Opis

Tłumaczenie automatyczne – może zawierać nieścisłości.

Generowanie komunikatu o błędzie zawierającego lukę w zabezpieczeniach poufnych informacji w komponencie Apache Camel CoAP.

Ten problem dotyczy Apache Camel: od 4.0.0 przed 4.18.5, od 4.19.0 przed 4.22.2.

Gdy odbiorca CoAP nie mógł zbudować swojej odpowiedzi po zakończeniu trasy, CamelCoapResource przechwycił wynikowy wyjątek i wysłał wiadomość z powrotem do klienta CoAP jako ładunek odpowiedzi na wewnętrzny błąd serwera 5.00. Typowym przypadkiem jest błąd konwersji typu: konsument konwertuje końcową treść komunikatu na ładunek bajt[] oraz nagłówki CamelCoapMaxAge i CamelCoapETag na ich typy po zwróceniu trasy, a zatem poza procedurą obsługi błędów trasy. W wydaniach, których dotyczy problem, komunikat o takim niepowodzeniu zawiera nazwę klasy konwertowanej wartości, zawiera postać ciągu wartości i kończy się nazwą klasy i komunikatem przyczyny, dzięki czemu zdalny klient CoAP może odczytać wewnętrzne szczegóły dotyczące wdrożenia: nazwy klas i pakietów, postać ciągu wartości, taką jak ścieżka do treści pliku, i wszystko, co niesie ze sobą przyczyna, która w praktyce może obejmować ścieżki, nazwy hostów i szczegóły połączenia z backendem. Konsument nie miał możliwości pominięcia tego, w przeciwieństwie do konsumentów HTTP, którzy oferują w tym celu opcję muteException. Wyjątek zgłoszony przez nieudaną trasę nie został wysłany: konsument nie sprawdził, czy wymiana się nie powiodła, i odpowiedział na awarię trasy za pomocą treści 2.05 i dowolnej treści wiadomości znajdującej się w tym momencie. Dotarcie do ujawnienia wymaga zatem trasy, której ukończona odpowiedź, którą zdalny klient może uniemożliwić konwersję, co zależy od sposobu zapisania trasy.

Użytkownikom zaleca się aktualizację do wersji 4.23.0, która rozwiązuje problem. Jeśli użytkownicy korzystają ze strumienia wydań 4.22.x, sugeruje się im aktualizację do wersji 4.22.2. Jeśli użytkownicy korzystają ze strumienia wydań 4.18.x, sugeruje się im aktualizację do wersji 4.18.5. Strumień wydań 4.14.x i wcześniejszych, a także linie wydań 4.15.x do 4.17.x i 4.19.x do 4.21.x dobiegły końca przed rozwiązaniem tego problemu i nie otrzymają poprawki, więc wdrożenia w nich muszą zostać przeniesione do obsługiwanej wersji. Aktualizacja sama w sobie wystarczy: nowa opcja konsumencka muteException ma domyślnie wartość true we wszystkich trzech wierszach wersji stałej, więc odpowiedź na błąd nie niesie żadnego ładunku bez jakiejkolwiek zmiany konfiguracji. W przypadku wdrożeń, których nie można uaktualnić natychmiast, upewnij się, że odpowiedź może być zawsze zbudowana po zakończeniu trasy: przekonwertuj treść na bajt[] lub String jako ostatni krok każdej trasy korzystającej z punktu końcowego coap, na przykład za pomocą konwersjiBodyTo, nadaj nagłówkom CamelCoapMaxAge i CamelCoapETag tylko wartości ich własnego typu i dodaj procedurę obsługi onException, która oznacza błąd jako obsłużony i jawnie ustawia treść odpowiedzi, tak aby błąd konwersji był zgłaszany i zastępowany wewnątrz trasy a nie w konsumencie.

Generation of Error Message Containing Sensitive Information vulnerability in Apache Camel CoAP component.

This issue affects Apache Camel: from 4.0.0 before 4.18.5, from 4.19.0 before 4.22.2.

When the CoAP consumer could not build its response once the route had completed, CamelCoapResource caught the resulting exception and sent its message back to the CoAP client as the payload of a 5.00 Internal Server Error response. The typical case is a type conversion failure: the consumer converts the final message body to the byte[] payload, and the CamelCoapMaxAge and CamelCoapETag headers to their types, after the route has returned, and therefore outside the route's error handler. On the affected releases the message of such a failure names the class of the value being converted, carries the value's string form, and ends with the class name and message of the underlying cause, so a remote CoAP client could read internal detail about the deployment: class and package names, the string form of the value, such as the path of a file body, and whatever the cause carries, which in practice can include paths, host names and connection detail of a backend. The consumer had no option to suppress this, unlike the HTTP consumers, which offer a muteException option for that purpose. The exception raised by a failing route was not sent: the consumer did not check whether the exchange had failed, and answered a route failure with 2.05 Content and whatever body the message held at that point. Reaching the disclosure therefore requires a route whose completed response a remote client can make unconvertible, which depends on how the route is written.

Users are recommended to upgrade to version 4.23.0, which fixes the issue. If users are on the 4.22.x releases stream, then they are suggested to upgrade to 4.22.2. If users are on the 4.18.x releases stream, then they are suggested to upgrade to 4.18.5. The 4.14.x releases stream and earlier, and the 4.15.x to 4.17.x and 4.19.x to 4.21.x release lines, reached end of life before this issue was resolved and will not receive a fix, so deployments on them must move to a supported release. The upgrade is enough on its own: the new muteException consumer option defaults to true on all three fixed release lines, so the error response carries no payload without any configuration change. For deployments that cannot upgrade immediately, make sure the response can always be built once the route has completed: convert the body to byte[] or String as the last step of each route that consumes from a coap endpoint, for example with convertBodyTo, give the CamelCoapMaxAge and CamelCoapETag headers only values of their own types, and add an onException handler that marks the failure as handled and sets the response body explicitly, so that a conversion failure is raised and replaced inside the route rather than in the consumer.

>_ Słabości (CWE)

CWE-209

>_ Referencje

Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.

This product uses the NVD API but is not endorsed or certified by the NVD.

CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.

NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org

<< baza_cve