CVE-2026-85260

सारांश

Apache Camel MLLP घटक में लॉग फ़ाइल में संवेदनशील जानकारी के इंजेक्शन की भेद्यता। यह समस्या Apache Camel को प्रभावित करती है: 4.0.0 से 4.18.5 से पहले तक, 4.19.0 से 4.22.1 से पहले तक। camel-mllp घटक में एक logPhi विकल्प है जो यह नियंत्रित करता है कि HL7 पेलोड सामग्री लॉग में लिखी जा सकती है या नहीं। इसका डिफ़ॉल्ट मान true था, इसलिए जिस डिप्लॉयमेंट ने कुछ भी नहीं किया, उसने डिफ़ॉल्ट रूप से ही संरक्षित स्वास्थ्य जानकारी लॉग कर दी। दो और पथ सेटिंग की परवाह किए बिना पेलोड सामग्री को लॉग में लिखते थे, इसलिए जिस ऑपरेटर ने logPhi बंद भी कर दिया था, वह भी उन पथों पर अभी भी उजागर था। MLLP का उपयोग HL7 क्लिनिकल संदेशों को ले जाने के लिए किया जाता है, इसलिए संबंधित सामग्री रोगी डेटा है, और यह सामान्य एप्लिकेशन लॉग में पहुँच गई, जहाँ यह उसी रिटेंशन, एग्रीगेशन और एक्सेस के अधीन है जो डिप्लॉयमेंट सामान्य रूप से लॉग पर लागू करता है, न कि क्लिनिकल रिकॉर्ड पर। Apache Camel 4.23.0 में अपग्रेड करें, जो इस समस्या को ठीक करता है। 4.18.x LTS रिलीज़ स्ट्रीम पर उपयोगकर्ताओं को 4.18.5 में अपग्रेड करना चाहिए। 4.22.x LTS रिलीज़ स्ट्रीम पर उपयोगकर्ताओं को 4.22.1 में अपग्रेड करना चाहिए। logPhi का डिफ़ॉल्ट अब false है और उन पथों पर इसका पालन किया जाता है जो पहले इसे अनदेखा करते थे। यह एक बदला हुआ डिफ़ॉल्ट है: जिस डिप्लॉयमेंट ने पेलोड लॉगिंग पर निर्भर किया था, उसे अब logPhi=true स्पष्ट रूप से सेट करना होगा। चूँकि इस तरह के परिवर्तन के लिए अपग्रेड गाइड केवल मुख्य शाखा पर रहता है, 4.18.x या 4.22.x श्रृंखलाओं के भीतर अपग्रेड करने वाले ऑपरेटरों को इस सलाह को उस परिवर्तन की सूचना मानना चाहिए। जो डिप्लॉयमेंट तुरंत अपग्रेड नहीं कर सकते, उन्हें logPhi=false सेट करना चाहिए और यह जानना चाहिए कि फ़िक्स लागू होने तक दो पथ पेलोड सामग्री को लॉग करना जारी रखेंगे; तदनुसार लॉग तक पहुँच को प्रतिबंधित करें।

स्रोत

• CVE-2026-85260PoC

  CVE-2026-85260 के लिए रन करने योग्य Spring Boot और Quarkus रिप्रोड्यूसर, जो प्रभावित संस्करणों में camel-mllp PHI लॉगिंग और फ़िक्स के बाद उसके दमन को प्रदर्शित करता है।