CVE-2026-84736 in aeriOS
Sumário
de VulDB • 03/09/2026
Na versão de desenvolvimento atual do Eclipse aeriOS, para a qual ainda não foi publicada uma versão oficial, o componente Federator desativa por padrão a validação dos certificados TLS nas conexões HTTPS de saída. Quando a variável de ambiente TLS_CERTIFICATE_VALIDATION não está definida ou é configurada como false, o componente configura seu transporte HTTP para ignorar a verificação do certificado TLS.
Como resultado, um atacante capaz de interceptar as comunicações de rede entre o Federator e serviços externos poderia se passar por esses serviços e interceptar informações sensíveis transmitidas via HTTPS, incluindo credenciais de cliente OAuth e tokens bearer.
O problema foi resolvido habilitando a validação do certificado TLS por padrão. A variável de ambiente TLS_CERTIFICATE_VALIDATION agora está definida como true na configuração padrão fornecida pelo Helm chart e pela implantação com Docker Compose.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.