CVE-2026-101259: Divulgazione in Apache Camel CoAP

CVE-2026-101259 colpisce il componente CoAP di Apache Camel in una situazione concreta: quando la risposta di un consumer non può essere convertita (ad esempio, fallimento di type conversion), il componente invia il messaggio di errore completo al client CoAP come payload di una risposta 5.00. Questo messaggio contiene class name, percorsi di file, hostname e dettagli di connessione del backend, esponendo direttamente a qualsiasi client remoto che riesca a provocare una conversione fallita l'architettura interna della deployment.

Il CVSS è 5,3 (gravità media), ma il rischio è concreto per deployment con endpoint CoAP pubblici esposti. La divulgazione di informazioni sulla struttura interna è punto di partenza per ricognizione di rete. Pubblicato il 2026-10-26, il 2026-10-29 esiste un reproducer pubblico su GitHub. Sono affette le versioni 4.0.0 prima di 4.18.5, 4.19.0 prima di 4.22.2; le serie precedenti e intermedie non riceveranno patch per end of life.

La mitigazione immediata è upgrade a 4.18.5, 4.22.2 o 4.23.0+: in questi rilasci l'opzione muteException è attiva per default e sopprime il payload di errore.

Se l'upgrade è impossibile nell'immediato, i difensori devono convertire il body a byte[] o String come ultimo step di ogni route che consuma da CoAP, verificare i tipi di header CamelCoapMaxAge e CamelCoapETag, e aggiungere un gestore onException che imposti esplicitamente il corpo della risposta.