CVE-2026-85247

Resumen

Vulnerabilidad de validación de certificados incorrecta en el componente Knative de Apache Camel. Este problema afecta a Apache Camel: desde 4.0.0 anterior a 4.18.5, desde 4.19.0 anterior a 4.22.1. Cuando SSL estaba habilitado en el cliente HTTP de Knative pero no se configuraba ningún truststore, las opciones del cliente recurrían a confiar en todos los certificados presentados en lugar de usar los anclajes de confianza predeterminados de la JVM. Por lo tanto, una implementación que activaba TLS sin configurar también un truststore obtenía una conexión cifrada sin autenticación del par, que un atacante situado en la ruta de red puede terminar y leer. El estado peligroso se alcanza por omisión en lugar de mediante una habilitación explícita, y eso es lo que lo convierte en un defecto del framework: activar TLS no debería ser lo que desactiva la validación de certificados. Actualice a Apache Camel 4.23.0, que corrige el problema. Los usuarios de la rama de versiones LTS 4.18.x deben actualizar a 4.18.5. Los usuarios de la rama de versiones LTS 4.22.x deben actualizar a 4.22.1. Sin un truststore configurado, las opciones de confianza ahora se dejan sin establecer para que se apliquen los anclajes de confianza predeterminados de la JVM, el mismo mecanismo de respaldo que usan SSLContextParameters y el resto de Camel. Ahora solo se llega a confiar en todos los certificados solicitándolo explícitamente mediante la propiedad trust.all, que sigue disponible para desarrollo contra un clúster con un certificado autofirmado. Para las implementaciones que no puedan actualizar de inmediato, configure un truststore explícitamente siempre que SSL esté habilitado. Tras la actualización, una implementación que dependía del comportamiento implícito de confiar en todos los certificados debe configurar un truststore o establecer deliberadamente la propiedad trust.all.

Fuentes

• CVE-2026-85247PoC

  Reproductor ejecutable de Spring Boot y Quarkus para CVE-2026-85247, que demuestra el fallback de confianza total TLS de camel-knative y verifica la corrección.