CVE-2026-56139

Apache Camel Undertow Component içerisinde Hassas Bilgi İçeren Hata Mesajı Oluşturulması zafiyeti bulunmaktadır. camel-undertow HTTP sunucu tüketicisi, bir rota işleme hatası oluştuğunda istemciye neyin döndürüleceğini kontrol eden bir muteException seçeneği sunar. Diğer Camel HTTP sunucu bileşenleri (camel-http / camel-jetty / camel-servlet ve camel-platform-http) bu seçeneği varsayılan olarak true yaparken, bu bileşende varsayılan değer false olarak belirlenmiştir. muteException=false olduğunda, bir istek rota işleme sırasında bir istisnaya yol açtığında, tüketici boş bir gövde döndürmek yerine tam Throwable yığın izini (stack trace) text/plain formatında HTTP yanıt gövdesine yazar. Uç noktaya erişebilen ve örneğin hatalı bir istek gövdesi göndererek, geçersiz bir parametre kullanarak veya başka şekilde rota içi bir hatayı tetikleyerek işlem hatasına neden olabilen kimliği doğrulanmamış herhangi bir istemci, eksiksiz bir Java yığın izi alır. Bu tür bir yığın izi; istisna mesajlarına gömülmüş kimlik bilgileri, dahili ana bilgisayar adları ve IP adresleri, dosya sistemi yolları, bağımlılık ve sürüm detayları, veritabanı ve sınıf isimleri ile uygulamanın dahili yapısı dahil olmak üzere hassas dahili bilgileri ifşa edebilir ve saldırganlar bunu daha ileri saldırılar planlamak için kullanabilir. Ek olarak, Rest DSL tüketicileri için muteException seçeneği tamamen görmezden gelinmiştir: RestUndertowHttpBinding sabit kodlanmış bir false değeriyle oluşturulduğu için, muteException=true şeklinde yapılandırılmış olsa bile yığın izi döndürülmüştür. Bu sorun şu Apache Camel sürümlerini etkilemektedir: 4.0.0'dan 4.14.8 öncesine kadar, 4.15.0'dan 4.18.3 öncesine kadar, 4.19.0'dan 4.21.0 öncesine kadar. Kullanıcıların sorunu gideren 4.21.0 sürümüne yükseltmeleri önerilir. Eğer kullanıcılar 4.14.x LTS yayın akışındaysa, 4.14.8 sürümüne yükseltmeleri tavsiye edilir. Kullanıcılar 4.18.x yayın akışındaysa, 4.18.3 sürümüne yükseltmeleri tavsiye edilir. Hemen yükseltme yapamayan dağıtımlar için, işlem hatalarının artık istemciye yığın izi döndürmemesi amacıyla camel-undertow tüketicisinde muteException=true açıkça ayarlanmalıdır (örneğin undertow: http://0.0.0.0:8080/api?muteException=true veya genel olarak camel.component.undertow.mute-exception=true özelliği üzerinden); etkilenen sürümlerde bu geçici çözümün, düzeltme uygulanana kadar bağlamaları bu seçeneği görmezden gelen Rest DSL tüketicilerini kapsamadığına dikkat edilmelidir.