CVE-2026-85260

Resumen

Vulnerabilidad de inserción de información sensible en el archivo de registro en el componente MLLP de Apache Camel. Este problema afecta a Apache Camel: desde 4.0.0 antes de 4.18.5, desde 4.19.0 antes de 4.22.1. El componente camel-mllp incluye una opción logPhi que controla si el contenido de la carga útil HL7 puede escribirse en el registro. Su valor predeterminado era true, por lo que una implementación que no hiciera nada registraba información de salud protegida desde el primer momento. Otras dos rutas escribían el contenido de la carga útil en el registro independientemente de la configuración, por lo que incluso un operador que hubiera desactivado logPhi seguía expuesto en esas rutas. MLLP se utiliza para transportar mensajes clínicos HL7, por lo que el contenido en cuestión son datos de pacientes, y llegaba a los registros de aplicación ordinarios, donde queda sujeto a la retención, agregación y acceso que la implementación aplica a los registros en general, y no a los registros clínicos. Actualice a Apache Camel 4.23.0, que corrige el problema. Los usuarios de la rama de versiones LTS 4.18.x deben actualizar a 4.18.5. Los usuarios de la rama de versiones LTS 4.22.x deben actualizar a 4.22.1. logPhi ahora tiene el valor predeterminado false y se respeta en las rutas que antes lo ignoraban. Se trata de un valor predeterminado modificado: una implementación que dependía del registro de la carga útil ahora debe establecer logPhi=true explícitamente. Dado que la guía de actualización para un cambio como este reside únicamente en la rama principal, los operadores que actualicen dentro de las líneas 4.18.x o 4.22.x deben considerar este aviso como la notificación de dicho cambio. Para las implementaciones que no puedan actualizar de inmediato, establezcan logPhi=false y tengan en cuenta que dos rutas seguirán registrando el contenido de la carga útil hasta que se aplique la corrección; restrinjan el acceso a los registros en consecuencia.

Fuentes

• CVE-2026-85260PoC

  Reproductor ejecutable de Spring Boot y Quarkus para CVE-2026-85260, que demuestra el registro de PHI de camel-mllp en las versiones afectadas y su supresión tras la corrección.