CVE-2026-85247 Validación de certificados inadecuada en Apache Camel Knative con SSL sin truststore

Qué es CVE-2026-85247

Vulnerabilidad de validación de certificados inadecuada en el componente Knative de Apache Camel, en versiones 4.0.0 a anteriores a 4.18.5 y 4.19.0 a anteriores a 4.22.1. Cuando se habilitaba SSL en el cliente HTTP de Knative sin configurar un truststore, las opciones del cliente pasaban a confiar en cualquier certificado presentado en lugar de usar los anclajes de confianza predeterminados de la JVM. Un atacante ubicado en la ruta de red podría terminar la conexión y leer el tráfico. Se corrige en Apache Camel…

Productos y versiones afectadas

• Apache Software Foundation Apache Camel

  • desde 4.0.0 hasta antes de 4.18.5
  • desde 4.19.0 hasta antes de 4.22.1

Qué hacer

1. Verificá si usás Apache Camel y en qué versión: el rango afectado figura arriba.
2. Actualizá a la versión corregida que indique el fabricante en su aviso (ver referencias) o aplicá la mitigación que publique.
3. Priorizá la corrección: hay código de explotación público, así que el riesgo de ataque es alto.
4. Revisá registros y accesos de los sistemas expuestos para descartar que se haya aprovechado antes de corregir.

Exploits y pruebas de concepto públicas

Código publicado por terceros. Puede ser malicioso: revisalo solo en un entorno aislado.

• oscerd/CVE-2026-85247 ↗Reproducer for CVE-2026-85247 — Apache Camel camel-knative improper certificate validation (CWE-295); Spring Boot + Quarkus, affected vs fixedPUBLICADO 19 OCT · 16:42

Calculadora CVSS

CVSS 3.1 · 5.9 MEDIA

CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:N/A:N

VECTOR DE ATAQUE (AV)

Red

COMPLEJIDAD DEL ATAQUE (AC)

Alta

PRIVILEGIOS REQUERIDOS (PR)

Ninguno

INTERACCIÓN DEL USUARIO (UI)

Ninguna

ALCANCE (S)

Sin cambio

CONFIDENCIALIDAD (C)

Alta

INTEGRIDAD (I)

Ninguna

DISPONIBILIDAD (A)

Ninguna

Abrir la calculadora completa →

Descripción original

Improper Certificate Validation vulnerability in Apache Camel Knative component. This issue affects Apache Camel: from 4.0.0 before 4.18.5, from 4.19.0 before 4.22.1. When SSL was enabled on the Knative HTTP client but no truststore was configured, the client options fell back to trusting every presented certificate rather than to the JVM's default trust anchors. A deployment that switched TLS on without also configuring a truststore therefore obtained an encrypted connection with no peer authentication, which an attacker positioned on the network path can terminate and read. The dangerous state is reached by omission rather than by an explicit opt-in, which is what makes it a framework defect: turning TLS on should not be the thing that turns certificate validation off. Upgrade to Apache Camel 4.23.0, which fixes the issue. Users on the 4.18.x LTS releases stream should upgrade to 4.18.5. Users on the 4.22.x LTS releases stream should upgrade to 4.22.1. With no truststore configured the trust options are now left unset so the JVM default trust anchors apply, the same fallback SSLContextParameters and the rest of Camel use. Trusting every certificate is now reached only by asking for it explicitly through the trust.all property, which remains available for development against a cluster with a self-signed certificate. For deployments that cannot upgrade immediately, configure a truststore explicitly wherever SSL is enabled. After upgrading, a deployment that was relying on the implicit trust-all behaviour must either configure a truststore or set the trust.all property deliberately.

Referencias

• camel.apache.org/security/CVE-2026-85247.htmlVENDOR-ADVISORY
• issues.apache.org/jira/browse/CAMEL-24443ISSUE-TRACKING
• github.com/apache/camel/pull/25824PATCH
• github.com/apache/camel/pull/25944PATCH
• github.com/apache/camel/pull/25946PATCH

Historial de la alerta

1. 19 OCT · 16:42EXPLOIT PÚBLICO Se publicó el repositorio oscerd/CVE-2026-85247.

CÓMO SE HIZOResumen traducido automáticamente al español a partir de la descripción original. Ante dudas, la descripción original y las referencias del fabricante son la fuente de verdad. Cómo funciona.