CVE-2026-84736

WysokieCVSS 8.3

Opublikowano: 03/09/2026(UTC)Zaktualizowano: 03/09/2026(UTC)Przetłumaczono: 03/09/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.17%

Percentyl 6 - wyżej niż 6% wszystkich znanych CVE

Streszczenie

W bieżącej wersji rozwojowej Eclipse aeriOS, dla której nie opublikowano jeszcze oficjalnego wydania, komponent Federator domyślnie wyłącza walidację certyfikatów TLS dla połączeń HTTPS wychodzących. Gdy zmienna środowiskowa TLS_CERTIFICATE_VALIDATION jest nieustawiona lub ustawiona na false, komponent konfiguruje swój transport HTTP tak, aby pomijał weryfikację certyfikatów TLS. W rezultacie atakujący, który może przechwycić komunikację sieciową między Federatorem a usługami zewnętrznymi, może podszywać się pod te usługi i przechwytywać wrażliwe informacje przesyłane przez HTTPS, w tym poświadczenia klienta OAuth i tokeny bearer. Problem został rozwiązany przez domyślne włączenie walidacji certyfikatów TLS. Zmienna TLS_CERTIFICATE_VALIDATION jest teraz ustawiona na true w domyślnej konfiguracji dostarczanej przez Helm chart i Docker Compose.

Ocena ryzyka

Ryzyko przechwycenia wrażliwych danych, takich jak poświadczenia OAuth i tokeny, przez atakującego w sieci, co może prowadzić do nieautoryzowanego dostępu do systemów.

Rekomendacja

Upewnij się, że używasz wersji z poprawką, w której walidacja certyfikatów TLS jest domyślnie włączona. Jeśli używasz wersji rozwojowej, ustaw zmienną TLS_CERTIFICATE_VALIDATION na true.

Inne podatności w Eclipse aeriOS

CVE-2026-82955Krytyczne
W bieżącej wersji rozwojowej Eclipse aeriOS, w komponencie API Gateway, parametr disable_jwk_security był na stałe ustawiony na true, co wyłączało weryfikację certyfikatów TLS podczas pobierania JWKS. Umożliwiało to atakującemu przechwycenie komunikacji i dostarczenie złośliwego JWKS, co mogło naruszyć walidację tokenów. Problem został naprawiony poprzez uczynienie parametru konfigurowalnym i domyślnie ustawionym na false.

Oryginalny opis (angielski, źródło NVD)

In the current development version of Eclipse aeriOS, for which no official release has yet been published, the Federator component disables TLS certificate validation for outbound HTTPS connections by default. When the TLS_CERTIFICATE_VALIDATION environment variable is unset or set to false, the component configures its HTTP transport to skip TLS certificate verification. As a result, an attacker able to intercept network communications between the Federator and external services could impersonate those services and intercept sensitive information transmitted over HTTPS, including OAuth client credentials and bearer tokens. The issue has been addressed by enabling TLS certificate validation by default. The TLS_CERTIFICATE_VALIDATION environment variable is now set to true in the default configuration provided by the Helm chart and Docker Compose deployment.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS