CVE-2026-101259

Apache Camel CoAP bileşeninde Hassas Bilgi İçeren Hata Mesajı Oluşturulması zafiyeti bulunmaktadır. Bu sorun şu Apache Camel sürümlerini etkilemektedir: 4.0.0 ile 4.18.5 arası ve 4.19.0 ile 4.22.2 arası. Rota tamamlandığında CoAP tüketicisi yanıtını oluşturamadığında, CamelCoapResource ortaya çıkan istisnayı yakalar ve bu mesajı bir 5.00 Internal Server Error yanıtının gövdesi olarak CoAP istemcisine geri gönderir. Tipik durum bir tip dönüştürme hatasıdır: tüketici, rota döndükten sonra ve dolayısıyla rotanın hata yöneticisinin dışında, nihai mesaj gövdesini byte[] yüküne, CamelCoapMaxAge ve CamelCoapETag başlıklarını ise kendi tiplerine dönüştürür. Etkilenen sürümlerde, böyle bir hatanın mesajı dönüştürülen değerin sınıf adını belirtir, değerin dize biçimini taşır ve temel nedenin sınıf adı ve mesajıyla sona erer; böylece uzak bir CoAP istemcisi dağıtıma ilişkin dahili ayrıntıları okuyabilir: sınıf ve paket adları, dosya gövdesinin yolu gibi değerin dize biçimi ve neden kısmında yer alan yollar, ana bilgisayar adları ve bir arka uç bağlantı detayı gibi bilgiler. Bu durumun bastırılması için, bu amaçla muteException seçeneği sunan HTTP tüketicilerinin aksine, tüketicide herhangi bir seçenek bulunmamaktaydı. Başarısız olan bir rota tarafından yükseltilen istisna gönderilmiyordu: tüketici, exchange işleminin başarısız olup olmadığını kontrol etmiyor ve bir rota hatasına 2.05 Content yanıtı ile mesajın o noktada sahip olduğu gövdeyle cevap veriyordu. Dolayısıyla bilgi ifşasının gerçekleşmesi, uzak bir istemcinin tamamlanmış yanıtını dönüştürülemez hale getirebileceği bir rota gerektirir ki bu da rotanın nasıl yazıldığına bağlıdır. Kullanıcıların sorunu gideren 4.23.0 sürümüne yükseltmeleri önerilir. Eğer kullanıcılar 4.22.x sürüm akışındaysa, 4.22.2 sürümüne yükseltmeleri önerilir. Eğer kullanıcılar 4.18.x sürüm akışındaysa, 4.18.5 sürümüne yükseltmeleri önerilir. 4.14.x ve öncesindeki sürüm akışları ile 4.15.x - 4.17.x ve 4.19.x - 4.21.x sürüm hatları, bu sorun çözülmeden önce yaşam döngüsünün sonuna (end of life) ulaştığı için düzeltme almayacaktır; bu nedenle bu sürümlerdeki dağıtımlar desteklenen bir sürüme taşınmalıdır. Yükseltme işlemi tek başına yeterlidir: yeni muteException tüketici seçeneği, düzeltilen her üç sürüm hattında varsayılan olarak true değerindedir, böylece herhangi bir yapılandırma değişikliği olmadan hata yanıtı hiçbir yük taşımaz. Hemen yükseltme yapamayan dağıtımlar için, rotanın tamamlanmasının ardından yanıtın her zaman oluşturulabildiğinden emin olun: örneğin convertBodyTo kullanarak, bir coap uç noktasından veri tüketen her rotanın son adımında gövdeyi byte[] veya String formatına dönüştürün, CamelCoapMaxAge ve CamelCoapETag başlıklarına yalnızca kendi tiplerindeki değerleri verin ve hatayı işlendi olarak işaretleyip yanıt gövdesini açıkça belirleyen bir onException yöneticisi ekleyin; böylece bir dönüştürme hatası tüketicide değil, rotanın içinde yükseltilir ve değiştirilir.