CVE-2026-85300

सारांश

Apache Camel PQC घटक में गलत डिफ़ॉल्ट अनुमतियाँ (Incorrect Default Permissions) की भेद्यता। यह समस्या Apache Camel को प्रभावित करती है: 4.12.0 से 4.18.5 से पहले तक, और 4.19.0 से 4.22.1 से पहले तक। जब घटक ने उत्पन्न कुंजी सामग्री (key material) को डिस्क पर लिखा, तो उसने ऐसा उन अनुमतियों के साथ किया जो प्रक्रिया के डिफ़ॉल्ट umask से उत्पन्न हुई थीं, बजाय फ़ाइल को केवल उसके स्वामी तक सीमित करने के। ऐसे होस्ट पर जिसका umask समूह या विश्व (world) को पढ़ने की अनुमति देता है, निजी कुंजी (private key) इसलिए अन्य स्थानीय खातों द्वारा पढ़ी जा सकती थी। यह जोखिम किसी स्थानीय पक्ष के लिए है, न कि उस दूरस्थ प्रेषक के लिए जिसे Camel का खतरा मॉडल (threat model) प्राथमिक विरोधी मानता है, यही कारण है कि गंभीरता को निम्न आंका गया है, लेकिन जहाँ यह लागू होता है वहाँ परिणाम पूर्ण है: निजी कुंजी का स्वामित्व उसके द्वारा किए जाने वाले प्रत्येक हस्ताक्षर (signature) और कुंजी विनिमय (key exchange) को विफल कर देता है। समस्या को ठीक करने वाले Apache Camel 4.23.0 में अपग्रेड करें। 4.18.x LTS रिलीज़ स्ट्रीम पर उपयोगकर्ताओं को 4.18.5 में अपग्रेड करना चाहिए। 4.22.x LTS रिलीज़ स्ट्रीम पर उपयोगकर्ताओं को 4.22.1 में अपग्रेड करना चाहिए। अब कुंजी सामग्री केवल-स्वामी (owner-only) अनुमतियों के साथ लिखी जाती है। जो परिनियोजन (deployments) तुरंत अपग्रेड नहीं कर सकते, उन्हें कुंजी निर्देशिका को ऐसे पथ पर रखना चाहिए जिसे केवल सेवा खाता (service account) ही पार कर सके, और प्रक्रिया का umask कड़ा करना चाहिए। जो कुंजी सामग्री पहले से अनुमतिपूर्ण (permissive) अनुमतियों के साथ लिखी जा चुकी है, उसे उजागर (exposed) माना जाना चाहिए और उसे रोटेट (rotate) किया जाना चाहिए।

स्रोत

• CVE-2026-85300PoC

  CVE-2026-85300 के लिए रन करने योग्य Spring Boot और Quarkus रिप्रोड्यूसर, जो camel-pqc द्वारा अनुमतिपूर्ण umask-व्युत्पन्न फ़ाइल अनुमतियों के साथ निजी कुंजियाँ लिखने को प्रदर्शित करता है और फ़िक्स का सत्यापन करता है।