CVE-2026-85247

概要

Apache Camel Knativeコンポーネントにおける不適切な証明書検証の脆弱性。この問題はApache Camelに影響します: 4.0.0から4.18.5より前、4.19.0から4.22.1より前。Knative HTTPクライアントでSSLが有効化されていたものの、トラストストアが設定されていなかった場合、クライアントオプションはJVMのデフォルトトラストアンカーではなく、提示されたすべての証明書を信頼する動作にフォールバックしていました。そのため、TLSを有効化したままトラストストアも設定しなかったデプロイでは、ピア認証のない暗号化接続が確立され、ネットワーク経路上に位置する攻撃者がその接続を終端して内容を読み取ることが可能でした。この危険な状態は明示的なオプトインではなく省略によって到達するものであり、まさにそれがこの問題をフレームワークの欠陥たらしめています。TLSを有効化することが証明書検証を無効化する原因となるべきではありません。この問題を修正したApache Camel 4.23.0にアップグレードしてください。4.18.x LTSリリースストリームのユーザーは4.18.5にアップグレードしてください。4.22.x LTSリリースストリームのユーザーは4.22.1にアップグレードしてください。トラストストアが設定されていない場合、トラストオプションは未設定のままとなり、JVMのデフォルトトラストアンカーが適用されます。これはSSLContextParametersやその他のCamelが使用するフォールバックと同じです。すべての証明書を信頼する動作は、自己署名証明書を使用するクラスタに対する開発用途で引き続き利用可能なtrust.allプロパティを通じて明示的に要求した場合にのみ到達するようになりました。直ちにアップグレードできないデプロイでは、SSLが有効化されているすべての箇所でトラストストアを明示的に設定してください。アップグレード後、暗黙のtrust-all動作に依存していたデプロイは、トラストストアを設定するか、trust.allプロパティを意図的に設定する必要があります。

ソース

• CVE-2026-85247PoC

  CVE-2026-85247 の再現用に実行可能な Spring Boot および Quarkus の再現プログラムであり、camel-knative の TLS trust-all フォールバックを実演し、修正を検証します。