CVE-2026-85300

요약

Apache Camel PQC 컴포넌트의 잘못된 기본 권한(Incorrect Default Permissions) 취약점입니다. 이 문제는 Apache Camel 4.12.0부터 4.18.5 이전, 4.19.0부터 4.22.1 이전 버전에 영향을 미칩니다. 해당 컴포넌트가 생성된 키 자료를 디스크에 기록할 때 파일을 소유자로 제한하지 않고 프로세스 기본 umask가 생성하는 권한으로 기록했습니다. 따라서 umask가 그룹 또는 전체 사용자 읽기를 허용하는 호스트에서는 개인 키를 다른 로컬 계정이 읽을 수 있었습니다. 노출 대상은 원격 발신자가 아니라 로컬 측이며, Camel 위협 모델이 원격 발신자를 주요 적대자로 간주하기 때문에 심각도가 낮게 평가되었습니다. 그러나 해당되는 경우 그 결과는 완전합니다. 즉, 개인 키를 소유하면 해당 배포가 그 키로 수행하는 모든 서명과 키 교환이 무력화됩니다. 이 문제를 수정한 Apache Camel 4.23.0으로 업그레이드하십시오. 4.18.x LTS 릴리스 스트림 사용자는 4.18.5로 업그레이드해야 합니다. 4.22.x LTS 릴리스 스트림 사용자는 4.22.1로 업그레이드해야 합니다. 이제 키 자료는 소유자 전용 권한으로 기록됩니다. 즉시 업그레이드할 수 없는 배포의 경우 키 디렉터리를 서비스 계정만 접근할 수 있는 경로에 두고 프로세스 umask를 강화하십시오. 이미 허용적인 권한으로 기록된 키 자료는 노출된 것으로 간주하여 교체해야 합니다.

소스

• CVE-2026-85300PoC

  CVE-2026-85300에 대한 실행 가능한 Spring Boot 및 Quarkus 재현 프로그램으로, camel-pqc가 허용적인 umask에서 파생된 파일 권한으로 개인 키를 작성하는 것을 시연하고 수정 사항을 검증합니다.