CVE-2026-85257 Exposición de información en Apache Camel CXF por excepciones no declaradas

Qué es CVE-2026-85257

El componente CXF de Apache Camel devuelve al cliente SOAP detalles internos de excepciones no declaradas en el contrato, como nombres de clases y paquetes y el mensaje de la excepción, ante fallas provocadas por un llamador externo. Afecta a Apache Camel desde 4.0.0 hasta antes de 4.18.5 y desde 4.19.0 hasta antes de 4.22.1; corrige la versión 4.23.0.

Productos y versiones afectadas

• Apache Software Foundation Apache Camel

  • desde 4.0.0 hasta antes de 4.18.5
  • desde 4.19.0 hasta antes de 4.22.1

Qué hacer

1. Verificá si usás Apache Camel y en qué versión: el rango afectado figura arriba.
2. Actualizá a la versión corregida que indique el fabricante en su aviso (ver referencias) o aplicá la mitigación que publique.
3. Priorizá la corrección: hay código de explotación público, así que el riesgo de ataque es alto.
4. Revisá registros y accesos de los sistemas expuestos para descartar que se haya aprovechado antes de corregir.

Exploits y pruebas de concepto públicas

Código publicado por terceros. Puede ser malicioso: revisalo solo en un entorno aislado.

• oscerd/CVE-2026-85257 ↗Reproducer for CVE-2026-85257 — Apache Camel camel-cxf SOAP fault information disclosure (CWE-209); Spring Boot + Quarkus, affected vs fixedPUBLICADO 20 OCT · 04:50

Calculadora CVSS

CVSS 3.1 · 5.3 MEDIA

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N

VECTOR DE ATAQUE (AV)

Red

COMPLEJIDAD DEL ATAQUE (AC)

Baja

PRIVILEGIOS REQUERIDOS (PR)

Ninguno

INTERACCIÓN DEL USUARIO (UI)

Ninguna

ALCANCE (S)

Sin cambio

CONFIDENCIALIDAD (C)

Baja

INTEGRIDAD (I)

Ninguna

DISPONIBILIDAD (A)

Ninguna

Abrir la calculadora completa →

Descripción original

Generation of Error Message Containing Sensitive Information vulnerability in Apache Camel CXF component. This issue affects Apache Camel: from 4.0.0 before 4.18.5, from 4.19.0 before 4.22.1. When a route behind a CXF SOAP consumer failed with an exception the service contract does not declare, the exception was described back to the SOAP client in the fault: CXF copies the message into the SOAP faultstring, and can be configured to place the stack trace in the fault detail. An external caller able to provoke a failure could therefore read internal detail about the deployment - class and package names, and whatever the exception message carries. Declared faults, annotated @WebFault, are a different matter: those are part of the published contract that clients are written against, and suppressing them would break the service rather than protect anything. Upgrade to Apache Camel 4.23.0, which fixes the issue. Users on the 4.18.x LTS releases stream should upgrade to 4.18.5. Users on the 4.22.x LTS releases stream should upgrade to 4.22.1. A muteException consumer option, defaulting to true, replaces an undeclared route failure with a generic fault carrying no class name, message or stack trace. Faults the contract declares are reported exactly as before. Set muteException=false to restore the previous output. For deployments that cannot upgrade immediately, declare the exceptions the service is allowed to report and map every other failure onto one of them in an onException handler, so no undeclared exception reaches the fault.

Referencias

• camel.apache.org/security/CVE-2026-85257.htmlVENDOR-ADVISORY
• issues.apache.org/jira/browse/CAMEL-24477ISSUE-TRACKING
• github.com/apache/camel/pull/25742PATCH
• github.com/apache/camel/pull/25934PATCH
• github.com/apache/camel/pull/25935PATCH

Historial de la alerta

1. 20 OCT · 04:50EXPLOIT PÚBLICO Se publicó el repositorio oscerd/CVE-2026-85257.

CÓMO SE HIZOResumen traducido automáticamente al español a partir de la descripción original. Ante dudas, la descripción original y las referencias del fabricante son la fuente de verdad. Cómo funciona.