‹ Volver al listado

CVE-2026-85246

Estado: Pendiente de análisisMedia (5.3)—PoC
Gravedad5.3Media · CVSS 3.1
Probabilidad de explotación0.40 %mayor que el 33 % de las CVE
Explotación activaNono figura en el catálogo de CISA
Exploit públicoDisponiblePrueba de concepto en GitHub (no verificada)

Generación de mensaje de error que contiene información sensible en el componente Mina de Apache Camel.

Este problema afecta a Apache Camel: desde la 4.0.0 hasta antes de la 4.18.5, y desde la 4.19.0 hasta antes de la 4.22.1.

Cuando el procesamiento de un intercambio fallaba, el consumidor Mina escribía exchange.getException() directamente de vuelta en el socket del par remoto. Con el códec textline, esto entregaba al par el nombre de la clase de la excepción y su mensaje; con el códec de objetos, entregaba la excepción serializada, incluida su cadena de causas.

Leer descripción completaMostrar menos

Un par remoto capaz de provocar un fallo podía, por tanto, leer detalles internos del despliegue: nombres de clases y paquetes, y cualquier dato que contuvieran un mensaje o una causa anidada, que en la práctica puede incluir rutas, nombres de host y datos de conexión. El consumidor no tenía ninguna opción para suprimir este comportamiento, a diferencia de los consumidores de la familia HTTP alineados con CAMEL-23651.

Actualice a Apache Camel 4.23.0, que corrige el problema. Los usuarios de la rama LTS 4.18.x deben actualizar a la 4.18.5. Los usuarios de la rama LTS 4.22.x deben actualizar a la 4.22.1. Una opción de consumidor muteException, con valor predeterminado true, sustituye la excepción de la ruta por una genérica que no contiene nombre de clase, mensaje ni traza de pila, y aun así envía una respuesta para que un par síncrono no quede esperando hasta agotar el tiempo de espera. Establezca muteException=false para restaurar el comportamiento anterior. En despliegues que no puedan actualizarse de inmediato, añada un manejador onException que establezca explícitamente el cuerpo de la respuesta, de modo que el framework nunca escriba la excepción de vuelta al par.

Traducción automática del texto original de NVD (en inglés).

CVSS

Puntuación base
5.3
Versión
3.1
Vector
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N

Probabilidad de explotación (EPSS)

Probabilidad de explotación en los próximos 30 días
0.40 %
Percentil entre todas las CVEs puntuadas
33
Fecha de la puntuación
20/10/2026

EPSS (Exploit Prediction Scoring System, de FIRST) estima la probabilidad de que una vulnerabilidad sea explotada en 30 días. Complementa a CVSS (impacto) y a CISA KEV (explotación confirmada).

Exploits públicos

Hay código de explotación o plantillas de detección públicos. No es lo mismo que explotación activa confirmada (KEV), pero aumenta el riesgo: parchee con prioridad.

⚠️ Las pruebas de concepto de GitHub no están verificadas: algunas son falsas o contienen malware. No las ejecute nunca fuera de un laboratorio aislado.

Técnicas ATT&CK

Cómo se explota esta vulnerabilidad y qué consigue el atacante, en el lenguaje de MITRE ATT&CK.

El consumer Mina devuelve exception.getException() al peer remoto sin privilegios; expone nombres de clase, mensajes, rutas y detalles de conexión del despliegue.

Inferido por nuestro agente de análisis a partir de la descripción oficial, el vector CVSS y la CWE, y comprobado por un supervisor. Puede contener errores.

Mitigaciones ATT&CK que cubren estas técnicas

Vulnerability ScanningPrivileged Account ManagementNetwork SegmentationLimit Access to Resource Over NetworkFilter Network TrafficApplication Isolation and Sandboxing

Tecnologías afectadas (1)

⚠ Inferidas por IA a partir de la descripción — NVD aún no ha analizado esta CVE; no son CPE verificados.

Apache — CamelAI

CWE

Referencias

Mostrar las 5 referencias

JSON original (NVD)

Mostrar
{
  "id": "CVE-2026-85246",
  "cveTags": [],
  "metrics": {
    "ssvcV203": [
      {
        "source": "134c704f-9b21-4f2e-91b3-4a467353bcc0",
        "ssvcData": {
          "id": "CVE-2026-85246",
          "role": "CISA Coordinator",
          "options": [
            {
              "exploitation": "none"
            },
            {
              "automatable": "yes"
            },
            {
              "technicalImpact": "partial"
            }
          ],
          "version": "2.0.3",
          "timestamp": "2026-10-19T18:31:11.636370Z"
        }
      }
    ],
    "cvssMetricV31": [
      {
        "type": "Secondary",
        "source": "security@apache.org",
        "cvssData": {
          "scope": "UNCHANGED",
          "version": "3.1",
          "baseScore": 5.3,
          "attackVector": "NETWORK",
          "baseSeverity": "MEDIUM",
          "vectorString": "CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N",
          "integrityImpact": "NONE",
          "userInteraction": "NONE",
          "attackComplexity": "LOW",
          "availabilityImpact": "NONE",
          "privilegesRequired": "NONE",
          "confidentialityImpact": "LOW"
        },
        "impactScore": 1.4,
        "exploitabilityScore": 3.9
      }
    ]
  },
  "affected": [
    {
      "source": "security@apache.org",
      "affectedData": [
        {
          "vendor": "Apache Software Foundation",
          "product": "Apache Camel",
          "versions": [
            {
              "status": "affected",
              "version": "4.0.0",
              "lessThan": "4.18.5",
              "versionType": "maven"
            },
            {
              "status": "affected",
              "version": "4.19.0",
              "lessThan": "4.22.1",
              "versionType": "maven"
            },
            {
              "status": "unaffected",
              "version": "4.18.5",
              "versionType": "maven"
            },
            {
              "status": "unaffected",
              "version": "4.22.1",
              "versionType": "maven"
            },
            {
              "status": "unaffected",
              "version": "4.23.0",
              "versionType": "maven"
            }
          ],
          "packageURL": "pkg:maven/org.apache.camel/camel-mina",
          "packageName": "org.apache.camel:camel-mina",
          "collectionURL": "https://repo.maven.apache.org/maven2",
          "defaultStatus": "unaffected"
        }
      ]
    }
  ],
  "published": "2026-10-19T11:17:22.673",
  "references": [
    {
      "url": "https://camel.apache.org/security/CVE-2026-85246.html",
      "source": "security@apache.org"
    },
    {
      "url": "https://github.com/apache/camel/pull/25741",
      "source": "security@apache.org"
    },
    {
      "url": "https://github.com/apache/camel/pull/25934",
      "source": "security@apache.org"
    },
    {
      "url": "https://github.com/apache/camel/pull/25935",
      "source": "security@apache.org"
    },
    {
      "url": "https://issues.apache.org/jira/browse/CAMEL-24476",
      "source": "security@apache.org"
    }
  ],
  "vulnStatus": "Awaiting Analysis",
  "weaknesses": [
    {
      "type": "Secondary",
      "source": "security@apache.org",
      "description": [
        {
          "lang": "en",
          "value": "CWE-209"
        }
      ]
    }
  ],
  "descriptions": [
    {
      "lang": "en",
      "value": "Generation of Error Message Containing Sensitive Information vulnerability in Apache Camel Mina component.\n\nThis issue affects Apache Camel: from 4.0.0 before 4.18.5, from 4.19.0 before 4.22.1.\n\nWhen processing of an exchange failed, the Mina consumer wrote exchange.getException() straight back over the socket to the remote peer. Over a textline codec that hands the peer the exception's class name and message; over the object codec it hands over the serialised exception, cause chain included. A remote peer able to provoke a failure could therefore read internal detail about the deployment - class and package names, and whatever a message or nested cause happens to carry, which in practice can include paths, host names and connection detail. The consumer had no option to suppress this, unlike the HTTP-family consumers aligned by CAMEL-23651.\n\nUpgrade to Apache Camel 4.23.0, which fixes the issue. Users on the 4.18.x LTS releases stream should upgrade to 4.18.5. Users on the 4.22.x LTS releases stream should upgrade to 4.22.1. A muteException consumer option, defaulting to true, replaces the route exception with a generic one carrying no class name, message or stack trace, while still writing a reply so that a synchronous peer is not left to time out. Set muteException=false to restore the previous behaviour. For deployments that cannot upgrade immediately, add an onException handler that sets the reply body explicitly, so the framework never writes the exception back to the peer."
    }
  ],
  "lastModified": "2026-10-19T20:45:51.597",
  "sourceIdentifier": "security@apache.org"
}