CVE-2026-85300

概要

Apache Camel PQCコンポーネントにおける不適切なデフォルトパーミッションの脆弱性。この問題はApache Camelに影響します: 4.12.0から4.18.5より前、4.19.0から4.22.1より前。このコンポーネントが生成した鍵素材をディスクに書き込む際、ファイルを所有者のみに制限するのではなく、プロセスのデフォルトumaskが生成するパーミッションで書き込んでいました。そのため、umaskがグループまたはワールドの読み取りを許可しているホストでは、秘密鍵が他のローカルアカウントから読み取り可能でした。この露出は、Camelの脅威モデルが主要な敵対者と見なすリモート送信者ではなく、ローカルの当事者に対するものであり、そのため深刻度は低と評価されていますが、該当する場合の結果は完全なものです: 秘密鍵を所持すれば、その鍵を用いてデプロイメントが実行するすべての署名および鍵交換が破られます。この問題を修正したApache Camel 4.23.0にアップグレードしてください。4.18.x LTSリリースストリームのユーザーは4.18.5にアップグレードする必要があります。4.22.x LTSリリースストリームのユーザーは4.22.1にアップグレードする必要があります。鍵素材は所有者のみのパーミッションで書き込まれるようになりました。直ちにアップグレードできないデプロイメントでは、鍵ディレクトリをサービスアカウントのみがアクセスできるパスに配置し、プロセスのumaskを厳格化してください。すでに緩いパーミッションで書き込まれた鍵素材は露出したものとして扱い、ローテーションする必要があります。

ソース

• CVE-2026-85300PoC

  CVE-2026-85300 の再現用に実行可能な Spring Boot および Quarkus プロジェクトで、camel-pqc が umask 由来の緩いファイルパーミッションで秘密鍵を書き込むことを実証し、修正を検証します。