CVE-2026-85300

总结

Apache Camel PQC 组件中的默认权限设置不当漏洞。此问题影响 Apache Camel：从 4.12.0 到 4.18.5 之前，从 4.19.0 到 4.22.1 之前。当该组件将生成的密钥材料写入磁盘时，它使用的是进程默认 umask 所产生的权限，而不是将文件限制为仅所有者可访问。在 umask 允许组或其他用户读取的主机上，私钥因此可被其他本地账户读取。暴露对象是本地一方，而不是 Camel 威胁模型视为主要对手的远程发送方，这就是严重性被评估为低的原因，但在适用的情况下后果是彻底的：拥有私钥即可攻破部署使用该密钥执行的所有签名和密钥交换。请升级到 Apache Camel 4.23.0，该版本修复了此问题。使用 4.18.x LTS 发布流的用户应升级到 4.18.5。使用 4.22.x LTS 发布流的用户应升级到 4.22.1。密钥材料现在以仅所有者权限写入。对于无法立即升级的部署，请将密钥目录放在仅服务账户可遍历的路径上，并收紧进程 umask。已以宽松权限写入的密钥材料应视为已暴露并进行轮换。

来源

• CVE-2026-85300PoC

  针对 CVE-2026-85300 的可运行 Spring Boot 和 Quarkus 复现程序，演示 camel-pqc 以由 umask 派生的宽松文件权限写入私钥，并验证修复效果。