CVE-2026-85247

ملخص

ثغرة التحقق غير الصحيح من الشهادات في مكوّن Apache Camel Knative. تؤثر هذه المشكلة في Apache Camel: من 4.0.0 قبل 4.18.5، ومن 4.19.0 قبل 4.22.1. عندما كان SSL مُفعَّلاً في عميل Knative HTTP دون تكوين truststore، كانت خيارات العميل ترتد إلى الوثوق بكل شهادة مُقدَّمة بدلاً من مراسي الثقة الافتراضية في JVM. وبالتالي، فإن أي نشر فعّل TLS دون تكوين truststore أيضاً حصل على اتصال مشفّر دون مصادقة الطرف الآخر، وهو ما يستطيع مهاجم متمركز على مسار الشبكة إنهاؤه وقراءته. تُبلَغ الحالة الخطرة بالإغفال لا بالاشتراك الصريح، وهذا ما يجعلها عيباً في إطار العمل: فتفعيل TLS لا ينبغي أن يكون هو ما يعطّل التحقق من الشهادات. قم بالترقية إلى Apache Camel 4.23.0، الذي يصلح المشكلة. يجب على المستخدمين على سلسلة إصدارات 4.18.x LTS الترقية إلى 4.18.5. يجب على المستخدمين على سلسلة إصدارات 4.22.x LTS الترقية إلى 4.22.1. مع عدم تكوين truststore، تُترك خيارات الثقة الآن دون تعيين بحيث تُطبَّق مراسي الثقة الافتراضية في JVM، وهو نفس الاحتياطي الذي تستخدمه SSLContextParameters وبقية Camel. لم يعد الوثوق بكل شهادة يُبلَغ إلا بطلبه صراحةً عبر خاصية trust.all، التي تظل متاحة للتطوير ضد عنقود بشهادة موقّعة ذاتياً. بالنسبة للنشرات التي لا يمكنها الترقية فوراً، قم بتكوين truststore صراحةً أينما كان SSL مُفعَّلاً. بعد الترقية، يجب على أي نشر كان يعتمد على سلوك الثقة الضمني بالكل إما تكوين truststore أو تعيين خاصية trust.all عن قصد.

المصادر

• CVE-2026-85247PoC

  مُعيد إنتاج قابل للتشغيل لـ Spring Boot وQuarkus من أجل CVE-2026-85247، يوضّح سلوك camel-knative الاحتياطي القائم على الثقة الكاملة بـ TLS ويتحقق من الإصلاح.