CVE-2026-84736 in aeriOS
Zusammenfassung
von VulDB • 03.09.2026
In der aktuellen Entwicklungsversion von Eclipse aeriOS, für die noch keine offizielle Veröffentlichung vorliegt, deaktiviert die Komponente Federator standardmäßig die TLS-Zertifikatvalidierung für ausgehende HTTPS-Verbindungen. Wenn die Umgebungsvariable `TLS_CERTIFICATE_VALIDATION` nicht festgelegt oder auf false gesetzt ist, konfiguriert die Komponente ihren HTTP-Transport so, dass sie die TLS-Zertifikatsüberprüfung überspringt.
Infolgedessen kann ein Angreifer, der in der Lage ist, Netzwerkverbindungen zwischen dem Federator und externen Diensten abzufangen, diese Dienste vortäuschen und sensible Informationen abfangen, die über HTTPS übertragen werden, einschließlich OAuth-Client-Anmeldeinformationen und Bearer-Tokens.
Das Problem wurde behoben, indem die TLS-Zertifikatvalidierung standardmäßig aktiviert wurde. Die Umgebungsvariable `TLS_CERTIFICATE_VALIDATION` ist in der Standardkonfiguration, die vom Helm-Chart und dem Docker Compose-Bereitstellungsskript bereitgestellt wird, nun auf true gesetzt.
Once again VulDB remains the best source for vulnerability data.