CVE-2026-85300

Zusammenfassung

Schwachstelle durch falsche Standardberechtigungen in der Apache-Camel-PQC-Komponente. Dieses Problem betrifft Apache Camel: von 4.12.0 vor 4.18.5, von 4.19.0 vor 4.22.1. Als die Komponente generiertes Schlüsselmaterial auf die Festplatte schrieb, geschah dies mit den Berechtigungen, die die Standard-umask des Prozesses erzeugte, anstatt die Datei auf ihren Eigentümer zu beschränken. Auf einem Host, dessen umask Gruppen- oder Welt-Lesezugriff erlaubt, war der private Schlüssel daher für andere lokale Konten lesbar. Die Exposition betrifft eine lokale Partei und nicht den entfernten Absender, den das Bedrohungsmodell von Camel als primären Angreifer betrachtet, weshalb die Schwere als niedrig eingestuft wird; die Konsequenz ist jedoch, wo sie zutrifft, vollständig: Der Besitz des privaten Schlüssels hebelt jede Signatur und jeden Schlüsselaustausch aus, den die Bereitstellung damit durchführt. Führen Sie ein Upgrade auf Apache Camel 4.23.0 durch, das das Problem behebt. Benutzer des LTS-Release-Streams 4.18.x sollten auf 4.18.5 aktualisieren. Benutzer des LTS-Release-Streams 4.22.x sollten auf 4.22.1 aktualisieren. Schlüsselmaterial wird nun mit ausschließlich für den Eigentümer geltenden Berechtigungen geschrieben. Für Bereitstellungen, die nicht sofort aktualisiert werden können, legen Sie das Schlüsselverzeichnis auf einen Pfad, den nur das Dienstkonto durchlaufen kann, und verschärfen Sie die umask des Prozesses. Bereits mit permissiven Berechtigungen geschriebenes Schlüsselmaterial sollte als exponiert betrachtet und rotiert werden.

Quellen

• CVE-2026-85300PoC

  Lauffähiger Spring Boot- und Quarkus-Reproducer für CVE-2026-85300, der demonstriert, wie camel-pqc private Schlüssel mit permissiven, aus der umask abgeleiteten Dateiberechtigungen schreibt, und die Behebung verifiziert.