PT-2026-84750 · Eclipse+1 · Aerios+1
CVE-2026-82955
·
Publicado
2026-09-02
·
Atualizado
2026-09-02
CVSS v4.0
9.0
Crítica
| Vetor | AV:N/AC:L/AT:P/PR:N/UI:N/VC:N/VI:H/VA:N/SC:H/SI:H/SA:N |
Nome do Software Vulnerável e Versões Afetadas
Eclipse aeriOS (versões afetadas não especificadas)
Description
A instância do KrakenD no componente API Gateway possui o parâmetro
disable jwk security configurado como true de forma fixa. Essa configuração desabilita a verificação de certificado TLS durante a recuperação do JSON Web Key Set (JWKS), utilizado para validar tokens de portador. Um invasor capaz de interceptar essa comunicação poderia fornecer um JWKS malicioso para comprometer o processo de validação de tokens.Recommendations
Atualize a configuração para definir o valor do Helm
krakend.config.disableJwkSecurity como false para habilitar a verificação de certificado TLS.Exploit
Correção
Improper Verification of Cryptographic Signature
Improper Certificate Validation
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Identificadores relacionados
Produtos afetados
Kraken
Aerios