CVE-2026-85247

Riepilogo

Vulnerabilità di convalida non corretta dei certificati nel componente Apache Camel Knative. Il problema riguarda Apache Camel: dalla 4.0.0 precedente alla 4.18.5, dalla 4.19.0 precedente alla 4.22.1. Quando SSL era abilitato sul client HTTP Knative ma non era configurato alcun truststore, le opzioni del client ricadevano sul considerare attendibile ogni certificato presentato anziché sugli anchor di fiducia predefiniti della JVM. Un deployment che attivava TLS senza configurare anche un truststore otteneva quindi una connessione cifrata senza autenticazione del peer, che un attaccante posizionato sul percorso di rete può terminare e leggere. Lo stato pericoloso viene raggiunto per omissione anziché tramite un opt-in esplicito, ed è questo che lo rende un difetto del framework: attivare TLS non dovrebbe essere ciò che disattiva la convalida dei certificati. Eseguire l'aggiornamento ad Apache Camel 4.23.0, che risolve il problema. Gli utenti sul ramo delle release LTS 4.18.x devono aggiornare alla 4.18.5. Gli utenti sul ramo delle release LTS 4.22.x devono aggiornare alla 4.22.1. Senza alcun truststore configurato, le opzioni di fiducia ora vengono lasciate non impostate, così si applicano gli anchor di fiducia predefiniti della JVM, lo stesso fallback usato da SSLContextParameters e dal resto di Camel. Considerare attendibile ogni certificato ora si ottiene solo richiedendolo esplicitamente tramite la proprietà trust.all, che resta disponibile per lo sviluppo contro un cluster con un certificato autofirmato. Per i deployment che non possono aggiornare immediatamente, configurare esplicitamente un truststore ovunque SSL sia abilitato. Dopo l'aggiornamento, un deployment che faceva affidamento sul comportamento implicito di fiducia in tutti i certificati deve configurare un truststore oppure impostare deliberatamente la proprietà trust.all.

Fonti

• CVE-2026-85247PoC

  Reproducer eseguibile per Spring Boot e Quarkus per CVE-2026-85247, che dimostra il fallback TLS trust-all di camel-knative e verifica la correzione.