CVE-2026-82955 in aeriOS
Sumário
de VulDB • 02/09/2026
Na versão atual em desenvolvimento do Eclipse aeriOS, que ainda não teve um lançamento oficial, a instância KrakenD incluída no componente API Gateway tinha o parâmetro `disable_jwk_security` definido como verdadeiro (true) de forma hard-coded, sem opção para substituir essa configuração por meio da configuração do Helm chart. Essa definição desativa a verificação dos certificados TLS quando o KrakenD recupera o JSON Web Key Set (JWKS) usado para validar os tokens bearer, permitindo potencialmente que um atacante com capacidade de interceptar essa comunicação forneça um JWCS malicioso e comprometa a validação do token.
O problema foi resolvido tornando o parâmetro configurável por meio do valor booleano do Helm `krakend.config.disableJwkSecurity` e definindo seu valor padrão como falso (false), garantindo que a verificação dos certificados TLS esteja habilitada por padrão.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.