CVE-2026-85247

Zusammenfassung

Schwachstelle durch unsachgemäße Zertifikatsvalidierung in der Apache Camel Knative-Komponente. Dieses Problem betrifft Apache Camel: von 4.0.0 vor 4.18.5, von 4.19.0 vor 4.22.1. Wenn SSL im Knative-HTTP-Client aktiviert war, aber kein Truststore konfiguriert wurde, fielen die Client-Optionen darauf zurück, jedem vorgelegten Zertifikat zu vertrauen, statt den Standard-Vertrauensankern der JVM. Eine Bereitstellung, die TLS aktivierte, ohne zugleich einen Truststore zu konfigurieren, erhielt daher eine verschlüsselte Verbindung ohne Peer-Authentifizierung, die ein Angreifer, der sich im Netzwerkpfad positioniert, beenden und mitlesen kann. Der gefährliche Zustand wird durch Unterlassung statt durch ein ausdrückliches Opt-in erreicht, was ihn zu einem Framework-Defekt macht: Das Aktivieren von TLS sollte nicht das sein, was die Zertifikatsvalidierung deaktiviert. Führen Sie ein Upgrade auf Apache Camel 4.23.0 durch, das das Problem behebt. Benutzer des LTS-Release-Streams 4.18.x sollten auf 4.18.5 aktualisieren. Benutzer des LTS-Release-Streams 4.22.x sollten auf 4.22.1 aktualisieren. Ohne konfigurierten Truststore bleiben die Trust-Optionen nun ungesetzt, sodass die Standard-Vertrauensanker der JVM gelten – derselbe Fallback, den SSLContextParameters und der Rest von Camel verwenden. Das Vertrauen in jedes Zertifikat wird nun nur noch erreicht, indem es ausdrücklich über die Eigenschaft trust.all angefordert wird, die weiterhin für die Entwicklung gegen einen Cluster mit einem selbstsignierten Zertifikat verfügbar ist. Für Bereitstellungen, die nicht sofort aktualisiert werden können, konfigurieren Sie überall dort ausdrücklich einen Truststore, wo SSL aktiviert ist. Nach dem Upgrade muss eine Bereitstellung, die sich auf das implizite Trust-all-Verhalten verlassen hat, entweder einen Truststore konfigurieren oder die Eigenschaft trust.all bewusst setzen.

Quellen

• CVE-2026-85247PoC

  Lauffähiger Spring Boot- und Quarkus-Reproducer für CVE-2026-85247, der den TLS-Trust-all-Fallback von camel-knative demonstriert und die Fehlerbehebung verifiziert.