CVE-2026-85300

Riepilogo

Vulnerabilità di permessi predefiniti errati nel componente PQC di Apache Camel. Il problema riguarda Apache Camel: dalla 4.12.0 precedente alla 4.18.5, dalla 4.19.0 precedente alla 4.22.1. Quando il componente scriveva su disco il materiale di chiave generato, lo faceva con i permessi prodotti dalla umask predefinita del processo, anziché limitare il file al suo proprietario. Su un host la cui umask consente la lettura da parte del gruppo o di tutti, la chiave privata era quindi leggibile da altri account locali. L'esposizione riguarda una parte locale anziché il mittente remoto che il modello di minaccia di Camel considera l'avversario principale, ed è per questo che la gravità è valutata bassa, ma la conseguenza, dove si applica, è totale: il possesso della chiave privata vanifica ogni firma e scambio di chiavi che il deployment esegue con essa. Aggiornare ad Apache Camel 4.23.0, che risolve il problema. Gli utenti sul ramo delle release LTS 4.18.x dovrebbero aggiornare alla 4.18.5. Gli utenti sul ramo delle release LTS 4.22.x dovrebbero aggiornare alla 4.22.1. Il materiale di chiave viene ora scritto con permessi riservati al proprietario. Per i deployment che non possono aggiornare immediatamente, collocare la directory delle chiavi su un percorso che solo l'account di servizio può attraversare e restringere la umask del processo. Il materiale di chiave già scritto con permessi permissivi dovrebbe essere considerato esposto e sottoposto a rotazione.

Fonti

• CVE-2026-85300PoC

  Reproducer eseguibile per Spring Boot e Quarkus per CVE-2026-85300, che dimostra come camel-pqc scriva le chiavi private con permessi file permissivi derivati dalla umask e verifica la correzione.