‹ Volver al listado

CVE-2026-84180

Estado: Pendiente de análisisMedia (5.3)—PoC
Gravedad5.3Media · CVSS 3.1
Probabilidad de explotación0.40 %mayor que el 33 % de las CVE
Explotación activaNono figura en el catálogo de CISA
Exploit públicoDisponiblePrueba de concepto en GitHub (no verificada)

Generación de un mensaje de error que contiene información sensible en la vulnerabilidad del componente Knative de Apache Camel.

Este problema afecta a Apache Camel: desde la 4.0.0 hasta antes de la 4.18.5, desde la 4.19.0 hasta antes de la 4.22.1.

Cuando el procesamiento de un intercambio fallaba en el lado del consumidor, el consumidor HTTP de Knative escribía la excepción resultante de vuelta al llamante remoto como cuerpo de la respuesta, incluyendo su nombre de clase, su mensaje y su traza de pila.

Leer descripción completaMostrar menos

Un remitente externo podía, por tanto, provocar un fallo y leer detalles internos del despliegue: nombres de clases y paquetes, nombres de sistemas de archivos o de hosts incluidos en los mensajes de excepción, y la estructura de la ruta. Esos detalles son útiles para construir un ataque más dirigido y, cuando un mensaje de excepción incluye cadenas de configuración o de conexión, constituyen en sí mismos una filtración de datos. camel-knative era el último consumidor de la familia HTTP que no se había alineado con el comportamiento de muteException establecido para los demás consumidores HTTP por CAMEL-23651.

Actualice a Apache Camel 4.23.0, que corrige el problema. Los usuarios de la serie LTS 4.18.x deben actualizar a la 4.18.5. Los usuarios de la serie LTS 4.22.x deben actualizar a la 4.22.1. El consumidor ahora respeta una opción muteException que tiene como valor predeterminado true, de modo que un fallo de la ruta devuelve un cuerpo vacío con el código de estado de error en lugar de la excepción. Establezca muteException=false para restaurar la salida anterior. En los despliegues que no puedan actualizarse de inmediato, añada un manejador onException que establezca explícitamente el cuerpo de la respuesta, de forma que el framework nunca escriba la excepción de vuelta al llamante.

Traducción automática del texto original de NVD (en inglés).

CVSS

Puntuación base
5.3
Versión
3.1
Vector
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N

Probabilidad de explotación (EPSS)

Probabilidad de explotación en los próximos 30 días
0.40 %
Percentil entre todas las CVEs puntuadas
33
Fecha de la puntuación
20/10/2026

EPSS (Exploit Prediction Scoring System, de FIRST) estima la probabilidad de que una vulnerabilidad sea explotada en 30 días. Complementa a CVSS (impacto) y a CISA KEV (explotación confirmada).

Exploits públicos

Hay código de explotación o plantillas de detección públicos. No es lo mismo que explotación activa confirmada (KEV), pero aumenta el riesgo: parchee con prioridad.

⚠️ Las pruebas de concepto de GitHub no están verificadas: algunas son falsas o contienen malware. No las ejecute nunca fuera de un laboratorio aislado.

Técnicas ATT&CK

Cómo se explota esta vulnerabilidad y qué consigue el atacante, en el lenguaje de MITRE ATT&CK.

Vector AV:N/PR:N/UI:N permite explotarlo remotamente sin credenciales; el consumidor Knative devolvía al llamante la excepción con clase, mensaje y stack trace, revelando detalle interno.

Inferido por nuestro agente de análisis a partir de la descripción oficial, el vector CVSS y la CWE, y comprobado por un supervisor. Puede contener errores.

Mitigaciones ATT&CK que cubren estas técnicas

Vulnerability ScanningPrivileged Account ManagementNetwork SegmentationLimit Access to Resource Over NetworkFilter Network TrafficApplication Isolation and Sandboxing

Tecnologías afectadas (1)

⚠ Inferidas por IA a partir de la descripción — NVD aún no ha analizado esta CVE; no son CPE verificados.

Apache — CamelAI

CWE

Referencias

Mostrar las 5 referencias

JSON original (NVD)

Mostrar
{
  "id": "CVE-2026-84180",
  "cveTags": [],
  "metrics": {
    "ssvcV203": [
      {
        "source": "134c704f-9b21-4f2e-91b3-4a467353bcc0",
        "ssvcData": {
          "id": "CVE-2026-84180",
          "role": "CISA Coordinator",
          "options": [
            {
              "exploitation": "none"
            },
            {
              "automatable": "yes"
            },
            {
              "technicalImpact": "partial"
            }
          ],
          "version": "2.0.3",
          "timestamp": "2026-10-19T18:35:43.642554Z"
        }
      }
    ],
    "cvssMetricV31": [
      {
        "type": "Secondary",
        "source": "security@apache.org",
        "cvssData": {
          "scope": "UNCHANGED",
          "version": "3.1",
          "baseScore": 5.3,
          "attackVector": "NETWORK",
          "baseSeverity": "MEDIUM",
          "vectorString": "CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N",
          "integrityImpact": "NONE",
          "userInteraction": "NONE",
          "attackComplexity": "LOW",
          "availabilityImpact": "NONE",
          "privilegesRequired": "NONE",
          "confidentialityImpact": "LOW"
        },
        "impactScore": 1.4,
        "exploitabilityScore": 3.9
      }
    ]
  },
  "affected": [
    {
      "source": "security@apache.org",
      "affectedData": [
        {
          "vendor": "Apache Software Foundation",
          "product": "Apache Camel",
          "versions": [
            {
              "status": "affected",
              "version": "4.0.0",
              "lessThan": "4.18.5",
              "versionType": "maven"
            },
            {
              "status": "affected",
              "version": "4.19.0",
              "lessThan": "4.22.1",
              "versionType": "maven"
            },
            {
              "status": "unaffected",
              "version": "4.18.5",
              "versionType": "maven"
            },
            {
              "status": "unaffected",
              "version": "4.22.1",
              "versionType": "maven"
            },
            {
              "status": "unaffected",
              "version": "4.23.0",
              "versionType": "maven"
            }
          ],
          "packageURL": "pkg:maven/org.apache.camel/camel-knative",
          "packageName": "org.apache.camel:camel-knative",
          "collectionURL": "https://repo.maven.apache.org/maven2",
          "defaultStatus": "unaffected"
        }
      ]
    }
  ],
  "published": "2026-10-19T11:17:22.100",
  "references": [
    {
      "url": "https://camel.apache.org/security/CVE-2026-84180.html",
      "source": "security@apache.org"
    },
    {
      "url": "https://github.com/apache/camel/pull/25685",
      "source": "security@apache.org"
    },
    {
      "url": "https://github.com/apache/camel/pull/25835",
      "source": "security@apache.org"
    },
    {
      "url": "https://github.com/apache/camel/pull/25836",
      "source": "security@apache.org"
    },
    {
      "url": "https://issues.apache.org/jira/browse/CAMEL-24428",
      "source": "security@apache.org"
    }
  ],
  "vulnStatus": "Awaiting Analysis",
  "weaknesses": [
    {
      "type": "Secondary",
      "source": "security@apache.org",
      "description": [
        {
          "lang": "en",
          "value": "CWE-209"
        }
      ]
    }
  ],
  "descriptions": [
    {
      "lang": "en",
      "value": "Generation of Error Message Containing Sensitive Information vulnerability in Apache Camel Knative component.\n\nThis issue affects Apache Camel: from 4.0.0 before 4.18.5, from 4.19.0 before 4.22.1.\n\nWhen processing of an exchange failed on the consumer side, the Knative HTTP consumer wrote the resulting exception back to the remote caller as the response body, including its class name, message and stack trace. An external sender could therefore provoke a failure and read internal detail about the deployment: class and package names, file system or host names carried in exception messages, and the shape of the route. That detail is useful for building a more targeted attack, and where an exception message embeds configuration or connection strings it is disclosure in its own right. camel-knative was the remaining HTTP-family consumer that had not been aligned with the muteException behaviour established for the other HTTP consumers by CAMEL-23651.\n\nUpgrade to Apache Camel 4.23.0, which fixes the issue. Users on the 4.18.x LTS releases stream should upgrade to 4.18.5. Users on the 4.22.x LTS releases stream should upgrade to 4.22.1. The consumer now honours a muteException option that defaults to true, so a route failure returns an empty body with the error status rather than the exception. Set muteException=false to restore the previous output. For deployments that cannot upgrade immediately, add an onException handler that sets the response body explicitly, so that the framework never writes the exception back to the caller."
    }
  ],
  "lastModified": "2026-10-19T20:45:51.597",
  "sourceIdentifier": "security@apache.org"
}