CVE-2026-85247
Apache Camel : validation de certificat incorrecte de Camel-Knative lorsque SSL est activé sans truststore
- Publié
- 19 oct. 2026
- Mise à jour
- 19 oct. 2026
- Attribution de CNA
- apache
- Preuve observée
- 19 oct. 2026
CVSS primaire
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:N/A:NFaible · 30 prochains jours
- Percentile
- 36,3 %
- Date du modèle
- 25 oct. 2026
EPSS est une estimation statistique, et non une certitude ou une mesure d'impact. Combinez-le avec CVSS, le statut KEV, l'exposition et votre environnement.
Résumé
Vulnérabilité de validation de certificat incorrecte dans le composant Apache Camel Knative. Ce problème affecte Apache Camel : de 4.0.0 avant 4.18.5, de 4.19.0 avant 4.22.1. Lorsque SSL était activé sur le client HTTP Knative mais qu'aucun truststore n'était configuré, les options du client revenaient à faire confiance à tous les certificats présentés plutôt qu'aux ancres de confiance par défaut de la JVM. Un déploiement qui activait TLS sans configurer également un truststore obtenait donc une connexion chiffrée sans authentification du pair, qu'un attaquant positionné sur le chemin réseau peut intercepter et lire. L'état dangereux est atteint par omission plutôt que par une activation explicite, ce qui en fait un défaut du framework : activer TLS ne devrait pas être ce qui désactive la validation des certificats. Effectuez la mise à niveau vers Apache Camel 4.23.0, qui corrige le problème. Les utilisateurs des versions LTS 4.18.x doivent effectuer la mise à niveau vers 4.18.5. Les utilisateurs des versions LTS 4.22.x doivent effectuer la mise à niveau vers 4.22.1. Sans truststore configuré, les options de confiance sont désormais laissées non définies afin que les ancres de confiance par défaut de la JVM s'appliquent, le même repli que SSLContextParameters et le reste de Camel utilisent. Faire confiance à tous les certificats n'est désormais atteint qu'en le demandant explicitement via la propriété trust.all, qui reste disponible pour le développement contre un cluster disposant d'un certificat auto-signé. Pour les déploiements qui ne peuvent pas effectuer la mise à niveau immédiatement, configurez explicitement un truststore partout où SSL est activé. Après la mise à niveau, un déploiement qui s'appuyait sur le comportement implicite de confiance totale doit soit configurer un truststore, soit définir délibérément la propriété trust.all.
Sources
Reproducteur exécutable Spring Boot et Quarkus pour CVE-2026-85247, démontrant le repli TLS trust-all de camel-knative et vérifiant le correctif.
Utilisation responsable
Utilisez les informations de vulnérabilité uniquement sur les systèmes que vous possédez ou que vous êtes autorisé à tester. Kitploit renvoie aux métadonnées de la recherche publique et ne stocke pas de code d'exploitation ni de charges utiles malveillantes.