CVE-2026-85247

Nieprawidłowa luka w zabezpieczeniach sprawdzania poprawności certyfikatu w komponencie Apache Camel Knative.

Ten problem dotyczy Apache Camel: od 4.0.0 przed 4.18.5, od 4.19.0 przed 4.22.1.

Gdy na kliencie Knative HTTP włączono protokół SSL, ale nie skonfigurowano magazynu zaufanych certyfikatów, opcje klienta ograniczały się do ufania każdemu prezentowanemu certyfikatowi, a nie domyślnym kotwicom zaufania maszyny JVM. Wdrożenie, w którym włączono protokół TLS bez jednoczesnej konfiguracji magazynu zaufanych certyfikatów, pozwoliło uzyskać szyfrowane połączenie bez uwierzytelniania równorzędnego, które osoba atakująca znajdująca się na ścieżce sieciowej może zakończyć i odczytać. Niebezpieczny stan osiąga się przez pominięcie, a nie przez wyraźną zgodę, co czyni go wadą frameworka: włączenie TLS nie powinno być tym, co wyłącza sprawdzanie poprawności certyfikatu.

Uaktualnij do Apache Camel 4.23.0, co rozwiąże problem. Użytkownicy strumienia wydań 4.18.x LTS powinni dokonać aktualizacji do wersji 4.18.5. Użytkownicy strumienia wydań 4.22.x LTS powinni dokonać aktualizacji do wersji 4.22.1. Bez skonfigurowanego magazynu zaufanych certyfikatów opcje zaufania pozostają nieskonfigurowane, więc stosowane są domyślne kotwice zaufania JVM, te same rezerwowe parametry SSLContextParameters i reszta użycia Camela. Zaufanie każdemu certyfikatowi można teraz osiągnąć jedynie poprzez wyraźne zapytanie o to za pośrednictwem właściwości trust.all, która pozostaje dostępna do programowania w klastrze z certyfikatem z podpisem własnym. W przypadku wdrożeń, których nie można natychmiast uaktualnić, skonfiguruj magazyn zaufanych certyfikatów jawnie wszędzie tam, gdzie jest włączony protokół SSL. Po aktualizacji wdrożenie, które opierało się na niejawnym zachowaniu zaufania-all, musi albo skonfigurować magazyn zaufanych certyfikatów, albo celowo ustawić właściwość trust.all.