CVE-2026-85300

Resumen

Vulnerabilidad de permisos predeterminados incorrectos en el componente PQC de Apache Camel. Este problema afecta a Apache Camel: desde 4.12.0 hasta antes de 4.18.5, desde 4.19.0 hasta antes de 4.22.1. Cuando el componente escribía el material de clave generado en disco, lo hacía con los permisos que producía la umask predeterminada del proceso, en lugar de restringir el archivo a su propietario. Por lo tanto, en un host cuya umask permite la lectura por parte del grupo o de otros usuarios, la clave privada era legible por otras cuentas locales. La exposición es ante una parte local y no ante el remitente remoto que el modelo de amenazas de Camel considera el adversario principal, razón por la cual la gravedad se evalúa como baja, pero la consecuencia donde aplica es total: la posesión de la clave privada anula cada firma e intercambio de claves que el despliegue realiza con ella. Actualice a Apache Camel 4.23.0, que corrige el problema. Los usuarios de la rama de versiones LTS 4.18.x deben actualizar a 4.18.5. Los usuarios de la rama de versiones LTS 4.22.x deben actualizar a 4.22.1. Ahora el material de clave se escribe con permisos exclusivos para el propietario. Para los despliegues que no puedan actualizar de inmediato, coloque el directorio de claves en una ruta por la que solo la cuenta de servicio pueda transitar y restrinja la umask del proceso. El material de clave ya escrito con permisos permisivos debe tratarse como expuesto y rotarse.

Fuentes

• CVE-2026-85300PoC

  Reproductor ejecutable de Spring Boot y Quarkus para CVE-2026-85300, que demuestra cómo camel-pqc escribe claves privadas con permisos de archivo permisivos derivados de la umask y verifica la corrección.