CVE-2026-85247

요약

Apache Camel Knative 구성 요소의 부적절한 인증서 검증 취약점입니다. 이 문제는 Apache Camel 4.0.0부터 4.18.5 이전, 4.19.0부터 4.22.1 이전 버전에 영향을 미칩니다. Knative HTTP 클라이언트에서 SSL이 활성화되었지만 truststore가 구성되지 않은 경우, 클라이언트 옵션은 JVM의 기본 신뢰 앵커 대신 제시된 모든 인증서를 신뢰하는 것으로 대체되었습니다. 따라서 truststore를 구성하지 않고 TLS만 활성화한 배포는 피어 인증 없이 암호화된 연결을 얻게 되며, 네트워크 경로에 위치한 공격자가 이를 종료하고 내용을 읽을 수 있습니다. 이 위험한 상태는 명시적 옵트인이 아닌 누락에 의해 도달되며, 이것이 바로 이를 프레임워크 결함으로 만드는 이유입니다. TLS를 켜는 것이 인증서 검증을 끄는 원인이 되어서는 안 됩니다. 이 문제를 수정한 Apache Camel 4.23.0으로 업그레이드하십시오. 4.18.x LTS 릴리스 스트림 사용자는 4.18.5로 업그레이드해야 합니다. 4.22.x LTS 릴리스 스트림 사용자는 4.22.1로 업그레이드해야 합니다. truststore가 구성되지 않은 경우 이제 신뢰 옵션이 설정되지 않은 상태로 유지되어 JVM 기본 신뢰 앵커가 적용되며, 이는 SSLContextParameters와 Camel의 나머지 부분이 사용하는 것과 동일한 대체 방식입니다. 모든 인증서를 신뢰하는 것은 이제 trust.all 속성을 통해 명시적으로 요청하는 경우에만 도달할 수 있으며, 이 속성은 자체 서명 인증서가 있는 클러스터를 대상으로 한 개발 용도로 계속 사용할 수 있습니다. 즉시 업그레이드할 수 없는 배포의 경우 SSL이 활성화된 모든 곳에서 truststore를 명시적으로 구성하십시오. 업그레이드 후 암묵적 trust-all 동작에 의존하던 배포는 truststore를 구성하거나 trust.all 속성을 의도적으로 설정해야 합니다.

소스

• CVE-2026-85247PoC

  CVE-2026-85247에 대한 실행 가능한 Spring Boot 및 Quarkus 재현 프로그램으로, camel-knative TLS trust-all 폴백을 시연하고 수정 사항을 검증합니다.