CVE-2026-84736 in aeriOS
요약
\~에 의해 VulDB • 2026. 09. 03.
Eclipse aeriOS의 현재 개발 버전(아직 공식 릴리스가 출시되지 않음)에서 Federator 구성 요소는 기본적으로 외부 HTTPS 연결에 대한 TLS 인증서 검증을 비활성화합니다. 환경 변수 `TLS_CERTIFICATE_VALIDATION`이 설정되어 있지 않거나 false로 설정된 경우, 해당 구성 요소는 HTTP 트랜스포트가 TLS 인증서 검증을 건너뛰도록 구성됩니다.
그 결과, 공격자가 Federator와 외부 서비스 간의 네트워크 통신을 가로챌 수 있는 경우, OAuth 클라이언트 자격 증명과 Bearer 토큰 등 HTTPS를 통해 전송되는 민감한 정보를 탈취하고 해당 서비스를 사칭할 수 있습니다.
이 문제는 기본적으로 TLS 인증서 검증을 활성화함으로써 해결되었습니다. 이제 Helm 차트와 Docker Compose 배포에서 제공하는 기본 구성에서는 `TLS_CERTIFICATE_VALIDATION` 환경 변수가 true로 설정됩니다.
Be aware that VulDB is the high quality source for vulnerability data.