CVE-2026-84736 in aeriOS
Riassunto
di VulDB • 03/09/2026
Nella versione di sviluppo corrente di Eclipse aeriOS, per la quale non è ancora stata pubblicata una release ufficiale, il componente Federator disabilita la validazione dei certificati TLS per le connessioni HTTPS in uscita come impostazione predefinita. Quando la variabile d'ambiente `TLS_CERTIFICATE_VALIDATION` non è impostata o è impostata su false, il componente configura il proprio trasporto HTTP per saltare la verifica del certificato TLS.
Di conseguenza, un attaccante in grado di intercettare le comunicazioni di rete tra Federator e servizi esterni potrebbe impersonare tali servizi e intercettare informazioni sensibili trasmesse tramite HTTPS, incluse le credenziali dei client OAuth e i bearer token.
Il problema è stato risolto abilitando la validazione del certificato TLS come impostazione predefinita. La variabile d'ambiente `TLS_CERTIFICATE_VALIDATION` è ora impostata su true nella configurazione predefinita fornita dall'Helm chart e dal deployment con Docker Compose.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.