JVNDB-2026-023008 | |
Apache Software FoundationのApache Camelにおけるエラーメッセージによる情報漏えいに関する脆弱性 | |
| 概要 | |
Apache Camel Undertowコンポーネントにおける機密情報を含むエラーメッセージ生成の脆弱性について説明します。camel-undertowのHTTPサーバーコンシューマーは、ルート処理でエラーが発生した際にクライアントへ返す内容を制御するmuteExceptionオプションを提供しています。このオプションのデフォルト値はfalseですが、他のCamel HTTPサーバーコンポーネント（camel-http、camel-jetty、camel-servlet、camel-platform-http）はtrueをデフォルトとしています。muteException=falseの場合、ルート処理中に例外が発生すると、コンシューマーはHTTPレスポンスボディに空文字を返すのではなく、text/plain形式で完全なThrowableスタックトレースを書き込みます。認証されていないクライアントがエンドポイントに到達し、処理エラー（例えば不正なリクエストボディや無効なパラメータの送信、あるいはルート内部での失敗を引き起こすもの）を発生させると、完全なJavaスタックトレースが返されます。そのようなスタックトレースには、例外メッセージに埋め込まれた資格情報、内部ホスト名やIPアドレス、ファイルシステムパス、依存関係やバージョン情報、データベース名やクラス名、アプリケーションの内部構造などの機密情報が含まれることがあり、攻撃者はこれを悪用してさらなる攻撃を計画する可能性があります。さらに、Rest DSLコンシューマーではmuteExceptionオプションが全く尊重されず、RestUndertowHttpBindingがハードコーディングでfalseに設定されているため、muteException=trueの設定があってもスタックトレースが返されていました。本問題はApache Camelの以下のバージョンに影響します：4.0.0以降4.14.8未満、4.15.0以降4.18.3未満、4.19.0以降4.21.0未満です。ユーザーは本問題を修正したバージョン4.21.0へのアップグレードを推奨します。4.14.xのLTSリリースをご利用の場合は4.14.8、4.18.xリリースをご利用の場合は4.18.3へのアップグレードを推奨します。直ちにアップグレードできない場合は、camel-undertowコンシューマーでmuteException=trueを明示的に設定してください（例：undertow:http://0.0.0.0:8080/api?muteException=true、またはグローバル設定としてcamel.component.undertow.mute-exception=trueプロパティ）。これにより、処理エラー時にスタックトレースをクライアントへ返さないようにできます。ただし、影響を受けるリリースでは、この回避策はRest DSLコンシューマーには適用されず、修正が適用されるまでバインディングがmuteExceptionオプションを無視し続ける点にご注意ください。 | |
| CVSS による深刻度 (CVSS とは?) | |
|
CVSS v3 による深刻度
基本値: 5.3 (警告) [その他]
| |
| 影響を受けるシステム | |
|
| |
Apache Software Foundation | |
本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。 | |
| 想定される影響 | |
・当該ソフトウェアが扱う情報の一部が外部に漏れる可能性があります。 | |
| 対策 | |
ベンダ情報を参照して適切な対策を実施してください。 | |
| ベンダ情報 | |
Apache Software Foundation Openwall | |
| CWEによる脆弱性タイプ一覧 CWEとは? | |
|
| |
| 共通脆弱性識別子(CVE) CVEとは? | |
|
| |
| 参考情報 | |
| |
| 更新履歴 | |
|
| 公表日 | 2026/07/06 |
| 登録日 | 2026/07/10 |
| 最終更新日 | 2026/07/10 |
