CVE-2026-85260

Résumé

Vulnérabilité d'insertion d'informations sensibles dans un fichier journal dans le composant Apache Camel MLLP. Ce problème affecte Apache Camel : de 4.0.0 avant 4.18.5, de 4.19.0 avant 4.22.1. Le composant camel-mllp comporte une option logPhi qui détermine si le contenu de la charge utile HL7 peut être écrit dans le journal. Elle était définie par défaut à true, de sorte qu'un déploiement sans configuration journalisait des informations de santé protégées dès l'installation. Deux autres chemins écrivaient le contenu de la charge utile dans le journal indépendamment du paramètre, de sorte que même un opérateur ayant désactivé logPhi restait exposé sur ces chemins. MLLP est utilisé pour transporter des messages cliniques HL7, le contenu concerné est donc constitué de données de patients, et il parvenait dans les journaux applicatifs ordinaires, où il est soumis à la politique de rétention, d'agrégation et d'accès que le déploiement applique généralement aux journaux plutôt qu'aux dossiers cliniques. Effectuez la mise à niveau vers Apache Camel 4.23.0, qui corrige le problème. Les utilisateurs des versions LTS de la branche 4.18.x doivent effectuer la mise à niveau vers 4.18.5. Les utilisateurs des versions LTS de la branche 4.22.x doivent effectuer la mise à niveau vers 4.22.1. logPhi est désormais défini par défaut à false et est respecté sur les chemins qui l'ignoraient auparavant. Il s'agit d'un changement de valeur par défaut : un déploiement qui s'appuyait sur la journalisation de la charge utile doit désormais définir explicitement logPhi=true. Étant donné que le guide de mise à niveau pour un tel changement n'existe que sur la branche principale, les opérateurs effectuant une mise à niveau dans les lignes 4.18.x ou 4.22.x doivent considérer cet avis comme la notification de ce changement. Pour les déploiements qui ne peuvent pas effectuer la mise à niveau immédiatement, définissez logPhi=false et sachez que deux chemins continueront de journaliser le contenu de la charge utile jusqu'à l'application du correctif ; limitez l'accès aux journaux en conséquence.

Sources

• CVE-2026-85260PoC