CVE-2026-85300

Резюме

Уязвимость некорректных разрешений по умолчанию в компоненте Apache Camel PQC. Проблема затрагивает Apache Camel: с 4.12.0 до 4.18.5, с 4.19.0 до 4.22.1. Когда компонент записывал сгенерированный ключевой материал на диск, он делал это с разрешениями, которые создавала umask процесса по умолчанию, вместо того чтобы ограничить файл его владельцем. На хосте, чья umask допускает чтение группой или всеми, закрытый ключ, таким образом, был доступен для чтения другим локальным учётным записям. Подверженность риску исходит от локальной стороны, а не от удалённого отправителя, которого модель угроз Camel рассматривает как основного противника, поэтому серьёзность оценивается как низкая, но последствие там, где оно применимо, является полным: обладание закрытым ключом сводит на нет любую подпись и любой обмен ключами, которые развёртывание выполняет с его помощью. Обновитесь до Apache Camel 4.23.0, где эта проблема исправлена. Пользователям ветки LTS-релизов 4.18.x следует обновиться до 4.18.5. Пользователям ветки LTS-релизов 4.22.x следует обновиться до 4.22.1. Ключевой материал теперь записывается с разрешениями только для владельца. Для развёртываний, которые не могут обновиться немедленно, разместите каталог ключей по пути, доступ к которому может осуществлять только служебная учётная запись, и ужесточите umask процесса. Ключевой материал, уже записанный с разрешающими разрешениями, следует считать скомпрометированным и выполнить его ротацию.

Источники

• CVE-2026-85300PoC

  Работающий воспроизводитель на Spring Boot и Quarkus для CVE-2026-85300, демонстрирующий, как camel-pqc записывает приватные ключи с разрешениями файлов, производными от разрешительной umask, и проверяющий исправление.