‹ Volver al listado

CVE-2026-85247

Estado: Pendiente de análisisMedia (5.9)—PoC
Gravedad5.9Media · CVSS 3.1
Probabilidad de explotación0.31 %mayor que el 22 % de las CVE
Explotación activaNono figura en el catálogo de CISA
Exploit públicoDisponiblePrueba de concepto en GitHub (no verificada)

Vulnerabilidad de validación inadecuada de certificados en el componente Knative de Apache Camel.

Este problema afecta a Apache Camel: desde la 4.0.0 hasta antes de la 4.18.5, y desde la 4.19.0 hasta antes de la 4.22.1.

Cuando SSL estaba habilitado en el cliente HTTP de Knative pero no se había configurado ningún truststore, las opciones del cliente recurrían a confiar en todos los certificados presentados, en lugar de en los anclajes de confianza predeterminados de la JVM.

Leer descripción completaMostrar menos

Por tanto, una implementación que activaba TLS sin configurar también un truststore obtenía una conexión cifrada sin autenticación del par, que un atacante situado en la ruta de red puede interceptar y leer. El estado peligroso se alcanza por omisión y no por una activación explícita, y eso es lo que lo convierte en un defecto del framework: activar TLS no debería ser lo que desactiva la validación de certificados.

Actualice a Apache Camel 4.23.0, que corrige el problema. Los usuarios de la rama LTS 4.18.x deben actualizar a 4.18.5. Los usuarios de la rama LTS 4.22.x deben actualizar a 4.22.1. Si no se configura ningún truststore, las opciones de confianza ahora se dejan sin establecer para que se apliquen los anclajes de confianza predeterminados de la JVM, el mismo comportamiento de respaldo que usan SSLContextParameters y el resto de Camel. Confiar en todos los certificados solo se consigue ahora solicitándolo explícitamente mediante la propiedad trust.all, que sigue disponible para el desarrollo contra un clúster con un certificado autofirmado. En las implementaciones que no puedan actualizarse de inmediato, configure explícitamente un truststore siempre que SSL esté habilitado. Tras actualizar, una implementación que dependía del comportamiento implícito de confianza en todos los certificados debe configurar un truststore o establecer la propiedad trust.all de forma deliberada.

Traducción automática del texto original de NVD (en inglés).

CVSS

Puntuación base
5.9
Versión
3.1
Vector
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:N/A:N

Probabilidad de explotación (EPSS)

Probabilidad de explotación en los próximos 30 días
0.31 %
Percentil entre todas las CVEs puntuadas
22
Fecha de la puntuación
20/10/2026

EPSS (Exploit Prediction Scoring System, de FIRST) estima la probabilidad de que una vulnerabilidad sea explotada en 30 días. Complementa a CVSS (impacto) y a CISA KEV (explotación confirmada).

Exploits públicos

Hay código de explotación o plantillas de detección públicos. No es lo mismo que explotación activa confirmada (KEV), pero aumenta el riesgo: parchee con prioridad.

⚠️ Las pruebas de concepto de GitHub no están verificadas: algunas son falsas o contienen malware. No las ejecute nunca fuera de un laboratorio aislado.

Técnicas ATT&CK

Cómo se explota esta vulnerabilidad y qué consigue el atacante, en el lenguaje de MITRE ATT&CK.

Vector AV:N/PR:N/UI:N y el texto indica que sin truststore el cliente confía en cualquier certificado, permitiendo a un atacante en la ruta terminar y leer la conexión TLS.

Inferido por nuestro agente de análisis a partir de la descripción oficial, el vector CVSS y la CWE, y comprobado por un supervisor. Puede contener errores.

Mitigaciones ATT&CK que cubren estas técnicas

Network SegmentationLimit Access to Resource Over NetworkFilter Network TrafficVulnerability ScanningUser TrainingPrivileged Account Management

Tecnologías afectadas (1)

⚠ Inferidas por IA a partir de la descripción — NVD aún no ha analizado esta CVE; no son CPE verificados.

Apache — CamelAI

CWE

Referencias

Mostrar las 5 referencias

JSON original (NVD)

Mostrar
{
  "id": "CVE-2026-85247",
  "cveTags": [],
  "metrics": {
    "ssvcV203": [
      {
        "source": "134c704f-9b21-4f2e-91b3-4a467353bcc0",
        "ssvcData": {
          "id": "CVE-2026-85247",
          "role": "CISA Coordinator",
          "options": [
            {
              "exploitation": "none"
            },
            {
              "automatable": "no"
            },
            {
              "technicalImpact": "partial"
            }
          ],
          "version": "2.0.3",
          "timestamp": "2026-10-19T17:00:06.862739Z"
        }
      }
    ],
    "cvssMetricV31": [
      {
        "type": "Secondary",
        "source": "security@apache.org",
        "cvssData": {
          "scope": "UNCHANGED",
          "version": "3.1",
          "baseScore": 5.9,
          "attackVector": "NETWORK",
          "baseSeverity": "MEDIUM",
          "vectorString": "CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:N/A:N",
          "integrityImpact": "NONE",
          "userInteraction": "NONE",
          "attackComplexity": "HIGH",
          "availabilityImpact": "NONE",
          "privilegesRequired": "NONE",
          "confidentialityImpact": "HIGH"
        },
        "impactScore": 3.6,
        "exploitabilityScore": 2.2
      }
    ]
  },
  "affected": [
    {
      "source": "security@apache.org",
      "affectedData": [
        {
          "vendor": "Apache Software Foundation",
          "product": "Apache Camel",
          "versions": [
            {
              "status": "affected",
              "version": "4.0.0",
              "lessThan": "4.18.5",
              "versionType": "maven"
            },
            {
              "status": "affected",
              "version": "4.19.0",
              "lessThan": "4.22.1",
              "versionType": "maven"
            },
            {
              "status": "unaffected",
              "version": "4.18.5",
              "versionType": "maven"
            },
            {
              "status": "unaffected",
              "version": "4.22.1",
              "versionType": "maven"
            },
            {
              "status": "unaffected",
              "version": "4.23.0",
              "versionType": "maven"
            }
          ],
          "packageURL": "pkg:maven/org.apache.camel/camel-knative",
          "packageName": "org.apache.camel:camel-knative",
          "collectionURL": "https://repo.maven.apache.org/maven2",
          "defaultStatus": "unaffected"
        }
      ]
    }
  ],
  "published": "2026-10-19T11:17:22.820",
  "references": [
    {
      "url": "https://camel.apache.org/security/CVE-2026-85247.html",
      "source": "security@apache.org"
    },
    {
      "url": "https://github.com/apache/camel/pull/25824",
      "source": "security@apache.org"
    },
    {
      "url": "https://github.com/apache/camel/pull/25944",
      "source": "security@apache.org"
    },
    {
      "url": "https://github.com/apache/camel/pull/25946",
      "source": "security@apache.org"
    },
    {
      "url": "https://issues.apache.org/jira/browse/CAMEL-24443",
      "source": "security@apache.org"
    }
  ],
  "vulnStatus": "Awaiting Analysis",
  "weaknesses": [
    {
      "type": "Secondary",
      "source": "security@apache.org",
      "description": [
        {
          "lang": "en",
          "value": "CWE-295"
        }
      ]
    }
  ],
  "descriptions": [
    {
      "lang": "en",
      "value": "Improper Certificate Validation vulnerability in Apache Camel Knative component.\n\nThis issue affects Apache Camel: from 4.0.0 before 4.18.5, from 4.19.0 before 4.22.1.\n\nWhen SSL was enabled on the Knative HTTP client but no truststore was configured, the client options fell back to trusting every presented certificate rather than to the JVM's default trust anchors. A deployment that switched TLS on without also configuring a truststore therefore obtained an encrypted connection with no peer authentication, which an attacker positioned on the network path can terminate and read. The dangerous state is reached by omission rather than by an explicit opt-in, which is what makes it a framework defect: turning TLS on should not be the thing that turns certificate validation off.\n\nUpgrade to Apache Camel 4.23.0, which fixes the issue. Users on the 4.18.x LTS releases stream should upgrade to 4.18.5. Users on the 4.22.x LTS releases stream should upgrade to 4.22.1. With no truststore configured the trust options are now left unset so the JVM default trust anchors apply, the same fallback SSLContextParameters and the rest of Camel use. Trusting every certificate is now reached only by asking for it explicitly through the trust.all property, which remains available for development against a cluster with a self-signed certificate. For deployments that cannot upgrade immediately, configure a truststore explicitly wherever SSL is enabled. After upgrading, a deployment that was relying on the implicit trust-all behaviour must either configure a truststore or set the trust.all property deliberately."
    }
  ],
  "lastModified": "2026-10-19T20:45:51.597",
  "sourceIdentifier": "security@apache.org"
}