CVE-2026-85260

概要

Apache Camel MLLPコンポーネントにおけるログファイルへの機密情報の挿入に関する脆弱性。この問題はApache Camelに影響します: 4.0.0から4.18.5より前、4.19.0から4.22.1より前。camel-mllpコンポーネントには、HL7ペイロードの内容をログに書き込んでよいかどうかを制御するlogPhiオプションがあります。このオプションはデフォルトでtrueであったため、何も設定していないデプロイでは、そのまま保護対象の医療情報がログに記録されていました。さらに2つの経路では、この設定に関係なくペイロードの内容がログに書き込まれていたため、logPhiをオフにした運用者でもそれらの経路では依然として露出していました。MLLPはHL7の臨床メッセージを伝送するために使用されるため、対象となる内容は患者データであり、それが通常のアプリケーションログに到達していました。そこでは、臨床記録ではなくログ全般にデプロイが適用する保持、集約、アクセスのポリシーに従うことになります。この問題を修正するApache Camel 4.23.0にアップグレードしてください。4.18.x LTSリリースストリームのユーザーは4.18.5にアップグレードしてください。4.22.x LTSリリースストリームのユーザーは4.22.1にアップグレードしてください。logPhiはデフォルトでfalseになり、以前はこれを無視していた経路でも尊重されるようになりました。これはデフォルトの変更です: ペイロードのログ記録に依存していたデプロイでは、明示的にlogPhi=trueを設定する必要があります。このような変更のアップグレードガイドはメインブランチにのみ存在するため、4.18.xまたは4.22.x系列内でアップグレードする運用者は、このアドバイザリをその変更の通知として扱う必要があります。直ちにアップグレードできないデプロイでは、logPhi=falseを設定し、修正が適用されるまで2つの経路で引き続きペイロードの内容がログに記録されることに注意してください。それに応じてログへのアクセスを制限してください。

ソース

• CVE-2026-85260PoC

  CVE-2026-85260 の再現可能な Spring Boot および Quarkus の再現プログラム。影響を受けるバージョンにおける camel-mllp の PHI ログ出力と、修正後の抑制を実証します。