CVE-2026-85247

Resumo

Vulnerabilidade de Validação Imprópria de Certificado no componente Apache Camel Knative. Este problema afeta o Apache Camel: de 4.0.0 antes de 4.18.5, de 4.19.0 antes de 4.22.1. Quando o SSL estava habilitado no cliente HTTP do Knative, mas nenhum truststore estava configurado, as opções do cliente recorriam a confiar em todos os certificados apresentados, em vez de usar as âncoras de confiança padrão da JVM. Uma implantação que ativou o TLS sem também configurar um truststore obtinha, portanto, uma conexão criptografada sem autenticação do par, que um atacante posicionado no caminho da rede pode encerrar e ler. O estado perigoso é alcançado por omissão, e não por uma adesão explícita, e é isso que o torna um defeito de framework: ativar o TLS não deveria ser o que desativa a validação de certificados. Atualize para o Apache Camel 4.23.0, que corrige o problema. Usuários do fluxo de versões LTS 4.18.x devem atualizar para 4.18.5. Usuários do fluxo de versões LTS 4.22.x devem atualizar para 4.22.1. Sem um truststore configurado, as opções de confiança agora ficam sem definição, para que se apliquem as âncoras de confiança padrão da JVM, o mesmo fallback usado pelo SSLContextParameters e pelo restante do Camel. Confiar em todos os certificados agora só é alcançado solicitando-o explicitamente por meio da propriedade trust.all, que permanece disponível para desenvolvimento contra um cluster com certificado autoassinado. Para implantações que não podem atualizar imediatamente, configure um truststore explicitamente onde quer que o SSL esteja habilitado. Após a atualização, uma implantação que dependia do comportamento implícito de confiar em todos deve configurar um truststore ou definir a propriedade trust.all deliberadamente.

Fontes

• CVE-2026-85247PoC

  Reprodutor executável em Spring Boot e Quarkus para a CVE-2026-85247, demonstrando o fallback trust-all de TLS do camel-knative e verificando a correção.