CVE-2026-85300

ملخص

ثغرة أذونات افتراضية غير صحيحة في مكوّن Apache Camel PQC. تؤثر هذه المشكلة على Apache Camel: من 4.12.0 قبل 4.18.5، ومن 4.19.0 قبل 4.22.1. عندما كتب المكوّن المواد المفتاحية المُولّدة إلى القرص، فعل ذلك بالأذونات التي أنتجها umask الافتراضي للعملية، بدلاً من تقييد الملف على مالكه. على مضيف يسمح فيه umask بالقراءة للمجموعة أو للجميع، كان المفتاح الخاص بالتالي قابلاً للقراءة من قِبل حسابات محلية أخرى. الانكشاف موجّه لطرف محلي وليس للمُرسِل البعيد الذي يعتبره نموذج تهديد Camel الخصم الأساسي، ولهذا تُقيَّم الخطورة على أنها منخفضة، لكن العاقبة حيث تنطبق كاملة: امتلاك المفتاح الخاص يُبطل كل توقيع وتبادل مفاتيح يُنفّذه النشر به. قم بالترقية إلى Apache Camel 4.23.0، الذي يُصلح المشكلة. يجب على المستخدمين على سلسلة إصدارات الدعم طويل الأمد 4.18.x الترقية إلى 4.18.5. يجب على المستخدمين على سلسلة إصدارات الدعم طويل الأمد 4.22.x الترقية إلى 4.22.1. تُكتب المواد المفتاحية الآن بأذونات المالك فقط. بالنسبة للنشرات التي لا يمكنها الترقية فوراً، ضع دليل المفاتيح على مسار لا يستطيع سوى حساب الخدمة عبوره، وشدّد umask الخاص بالعملية. يجب التعامل مع المواد المفتاحية المكتوبة بالفعل بأذونات متساهلة على أنها مكشوفة وتدويرها.

المصادر

• CVE-2026-85300PoC

  مُعيد إنتاج قابل للتشغيل بـ Spring Boot وQuarkus لـ CVE-2026-85300، يوضّح قيام camel-pqc بكتابة المفاتيح الخاصة بأذونات ملفات مستمدة من umask متساهلة، ويتحقق من الإصلاح.