CVE-2026-101259

Nome do Software Vulnerável e Versões Afetadas Apache Camel versões 4.0.0 até 4.18.4 Apache Camel versões 4.19.0 até 4.22.1

Description O componente CoAP no Apache Camel possui um problema onde o CamelCoapResource captura exceções que ocorrem após a conclusão de uma rota e envia a mensagem de exceção de volta ao cliente CoAP como uma resposta 5.00 Internal Server Error. Isso geralmente acontece durante falhas de conversão de tipo quando o consumidor converte o corpo final da mensagem para um payload byte[] ou processa os cabeçalhos CamelCoapMaxAge e CamelCoapETag. Consequentemente, um cliente remoto pode obter detalhes internos sensíveis da implantação, incluindo nomes de classes e pacotes, caminhos de corpo de arquivo, nomes de host e detalhes de conexão de backend. Isso ocorre porque o consumidor não possui um mecanismo para suprimir essas exceções, ao contrário dos consumidores HTTP.

Recommendations Atualizar para a versão 4.23.0. Atualizar para a versão 4.22.2 para aqueles na linha de lançamento 4.22.x. Atualizar para a versão 4.18.5 para aqueles na linha de lançamento 4.18.x. Como mitigação temporária, garanta que a resposta possa sempre ser construída convertendo o corpo para byte[] ou String como a última etapa de cada rota que consome de um endpoint CoAP usando convertBodyTo, fornecendo apenas tipos corretos para os cabeçalhos CamelCoapMaxAge e CamelCoapETag, e implementando um manipulador onException para marcar falhas como tratadas e definir explicitamente o corpo da resposta.