CVE-2026-85247

总结

Apache Camel Knative 组件中的证书验证不当漏洞。此问题影响 Apache Camel：从 4.0.0 到 4.18.5 之前，从 4.19.0 到 4.22.1 之前。当 Knative HTTP 客户端启用了 SSL 但未配置 truststore 时，客户端选项会回退为信任所有提供的证书，而不是使用 JVM 的默认信任锚点。因此，在未同时配置 truststore 的情况下开启 TLS 的部署，会获得一个没有对端身份验证的加密连接，位于网络路径上的攻击者可以终止该连接并读取内容。这种危险状态是通过遗漏而非显式选择触发的，这正是它成为框架缺陷的原因：开启 TLS 不应成为关闭证书验证的原因。请升级到 Apache Camel 4.23.0，该版本修复了此问题。使用 4.18.x LTS 发布流的用户应升级到 4.18.5。使用 4.22.x LTS 发布流的用户应升级到 4.22.1。在未配置 truststore 的情况下，信任选项现在保持未设置，以便应用 JVM 默认信任锚点，这与 SSLContextParameters 及 Camel 其余部分使用的回退方式相同。现在只有通过 trust.all 属性显式请求时才会信任所有证书，该属性仍可用于针对使用自签名证书的集群进行开发。对于无法立即升级的部署，请在启用 SSL 的任何位置显式配置 truststore。升级后，依赖隐式信任所有行为的部署必须配置 truststore 或有意设置 trust.all 属性。

来源

• CVE-2026-85247PoC

  针对 CVE-2026-85247 的可运行 Spring Boot 和 Quarkus 复现程序，演示 camel-knative 的 TLS 信任所有回退机制并验证修复。