Saltar al contenido
DUPIN
ALERTAS · EN VIVO
Contacto

VULNERABILIDADEXPLOIT PÚBLICODetectada 19 OCT · 10:04

CVE-2026-85300 Divulgación de clave privada en Camel-PQC por permisos de archivo predeterminados

Una vulnerabilidad de permisos predeterminados incorrectos en el componente Apache Camel PQC hace que el material de clave generado se escriba en disco con los permisos que produce el umask del proceso, en lugar de restringirlo a su propietario. En un host cuyo umask permita lectura de grupo o de otros, la clave privada queda legible por otras cuentas locales, lo que compromete las firmas e intercambios de claves del despliegue. Afecta a Apache Camel desde 4.12.0 hasta antes de 4.18.5 y desde 4.19.0 hasta antes…

5.5MEDIA

CVSS 3.1

  • Probabilidad de explotación0,1 %
  • Explotada activamenteNo confirmada
  • Exploit públicoSí, 1

Afectados

  • Apache Software Foundation Apache Camel

    desde 4.12.0 hasta antes de 4.18.5desde 4.19.0 hasta antes de 4.22.1

Qué hacer

  1. Verificá si usás Apache Camel y en qué versión.
  2. Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
  3. Priorizá la corrección: hay código de explotación público.
  4. Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.

Exploits públicos

Código publicado por terceros. Puede ser malicioso: revisalo solo en un entorno aislado.

Calculadora CVSS

CVSS 3.1 · 5.5 MEDIA

CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N

  • Vector de ataqueLocal
  • Complejidad del ataqueBaja
  • Privilegios requeridosBajos
  • Interacción del usuarioNinguna
  • AlcanceSin cambio
  • ConfidencialidadAlta
  • IntegridadNinguna
  • DisponibilidadNinguna

Descripción original

Incorrect Default Permissions vulnerability in Apache Camel PQC component. This issue affects Apache Camel: from 4.12.0 before 4.18.5, from 4.19.0 before 4.22.1. When the component wrote generated key material to disk it did so with the permissions the process default umask produced, rather than restricting the file to its owner. On a host whose umask allows group or world read, the private key was therefore readable by other local accounts. The exposure is to a local party rather than to the remote sender that the Camel threat model treats as the primary adversary, which is why the severity is assessed low, but the consequence where it applies is complete: possession of the private key defeats every signature and key exchange the deployment performs with it. Upgrade to Apache Camel 4.23.0, which fixes the issue. Users on the 4.18.x LTS releases stream should upgrade to 4.18.5. Users on the 4.22.x LTS releases stream should upgrade to 4.22.1. Key material is now written with owner-only permissions. For deployments that cannot upgrade immediately, place the key directory on a path only the service account can traverse, and tighten the process umask. Key material already written with permissive permissions should be treated as exposed and rotated.

Referencias (5)
Historial (2)
  1. VULNERABILIDADNueva vulnerabilidad detectada.
  2. EXPLOIT PÚBLICOSe publicó oscerd/CVE-2026-85300.

Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.