JVNDB-2026-023118 | |
Apache Software FoundationのApache Camelにおけるエラーメッセージによる情報漏えいに関する脆弱性 | |
| 概要 | |
Apache CamelのNetty HTTPコンポーネントにおける、機密情報を含むエラーメッセージ生成の脆弱性です。camel-netty-httpのHTTPサーバーコンシューマは、ルート処理中にエラーが発生した場合にクライアントに返される内容を制御するmuteExceptionオプションを提供しています。このオプションはバックフィールドが初期化されていないプリミティブのboolean型（Javaのデフォルトでfalse）であったため、デフォルト値がfalseになっていました。一方で、他のCamel HTTPサーバーコンポーネント（camel-http / camel-jetty / camel-servlet / camel-platform-http）は、このオプションのデフォルト値をtrueに設定しています。muteException=falseの場合、リクエストがルート処理中に例外を引き起こすと、コンシューマは空のレスポンスボディを返す代わりに、HTTPレスポンスの本文にThrowableの完全なスタックトレースをtext/plain形式で（DefaultNettyHttpBinding経由で）書き込みます。認証されていない任意のクライアントがエンドポイントにアクセスし、例えば不正なリクエストボディや無効なパラメータを送信するなどして処理エラーを引き起こすと、完全なJavaのスタックトレースを受け取ってしまいます。このスタックトレースには、例外メッセージに埋め込まれた認証情報、内部ホスト名やIPアドレス、ファイルシステムのパス、依存関係やバージョンの詳細、データベース名やクラス名、さらにはアプリケーションの内部構造などの機密情報が含まれる可能性があり、攻撃者はこれを用いてさらなる攻撃を計画することが可能です。この問題はApache Camelのバージョン4.0.0から4.14.8未満、4.15.0から4.18.3未満、4.19.0から4.21.0未満に影響します。ユーザーはこの問題を修正したバージョン4.21.0へアップグレードすることを推奨します。4.14.x LTSリリースを使用している場合は4.14.8へ、4.18.xリリースを使用している場合は4.18.3へのアップグレードが推奨されます。すぐにアップグレードできない環境では、camel-netty-httpコンシューマのmuteExceptionを明示的にtrueに設定してください（例：netty-http:http://0.0.0.0:8080/api?muteException=true またはグローバルに camel.component.netty-http.configuration.mute-exception=true プロパティを設定してください）。これにより、処理エラー時にスタックトレースがクライアントに返されなくなります。 | |
| CVSS による深刻度 (CVSS とは?) | |
|
CVSS v3 による深刻度
基本値: 5.3 (警告) [その他]
| |
| 影響を受けるシステム | |
|
| |
Apache Software Foundation | |
本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。 | |
| 想定される影響 | |
・当該ソフトウェアが扱う情報の一部が外部に漏れる可能性があります。 | |
| 対策 | |
ベンダ情報を参照して適切な対策を実施してください。 | |
| ベンダ情報 | |
Apache Software Foundation Openwall | |
| CWEによる脆弱性タイプ一覧 CWEとは? | |
|
| |
| 共通脆弱性識別子(CVE) CVEとは? | |
|
| |
| 参考情報 | |
| |
| 更新履歴 | |
|
| 公表日 | 2026/07/06 |
| 登録日 | 2026/07/10 |
| 最終更新日 | 2026/07/10 |
