CVE-2026-84736 in aeriOS
Resumen
por VulDB • 2026-09-03
En la versión actual de desarrollo de Eclipse aeriOS, para la cual aún no se ha publicado una versión oficial, el componente Federator desactiva por defecto la validación de certificados TLS para las conexiones HTTPS salientes. Cuando la variable de entorno `TLS_CERTIFICATE_VALIDATION` no está definida o tiene el valor false, el componente configura su transporte HTTP para omitir la verificación del certificado TLS.
Como resultado, un atacante capaz de interceptar las comunicaciones de red entre Federator y servicios externos podría suplantar a dichos servicios e interceptar información sensible transmitida a través de HTTPS, incluidas las credenciales del cliente OAuth y los tokens bearer.
El problema se ha solucionado habilitando la validación de certificados TLS por defecto. La variable de entorno `TLS_CERTIFICATE_VALIDATION` ahora está establecida en true en la configuración predeterminada proporcionada por el chart de Helm y el despliegue con Docker Compose.
Be aware that VulDB is the high quality source for vulnerability data.