CVE-2026-85247

Резюме

Уязвимость неправильной проверки сертификатов в компоненте Apache Camel Knative. Проблема затрагивает Apache Camel: с 4.0.0 до 4.18.5, с 4.19.0 до 4.22.1. Когда SSL был включён в HTTP-клиенте Knative, но truststore не был настроен, параметры клиента откатывались к доверию любому предъявленному сертификату вместо доверенных якорей JVM по умолчанию. Таким образом, развёртывание, включившее TLS без настройки truststore, получало зашифрованное соединение без аутентификации узла, которое злоумышленник, находящийся на сетевом пути, может прервать и прочитать. Опасное состояние достигается по недосмотру, а не через явное согласие, что и делает это дефектом фреймворка: включение TLS не должно быть тем, что отключает проверку сертификатов. Обновитесь до Apache Camel 4.23.0, где эта проблема исправлена. Пользователям ветки LTS-релизов 4.18.x следует обновиться до 4.18.5. Пользователям ветки LTS-релизов 4.22.x следует обновиться до 4.22.1. При отсутствии настроенного truststore параметры доверия теперь остаются незаданными, поэтому применяются доверенные якоря JVM по умолчанию — тот же запасной вариант, что используют SSLContextParameters и остальная часть Camel. Доверие любому сертификату теперь достигается только при явном запросе через свойство trust.all, которое остаётся доступным для разработки против кластера с самоподписанным сертификатом. Для развёртываний, которые не могут обновиться немедленно, настройте truststore явно везде, где включён SSL. После обновления развёртывание, полагавшееся на неявное поведение доверия всем сертификатам, должно либо настроить truststore, либо намеренно установить свойство trust.all.

Источники

• CVE-2026-85247PoC

  Работающий reproducer на Spring Boot и Quarkus для CVE-2026-85247, демонстрирующий резервный режим доверия всем сертификатам (trust-all) в TLS для camel-knative и проверяющий исправление.