oscerd/cve-2026-85260CVE-2026-85260에 대한 실행 가능한 Spring Boot 및 Quarkus 재현 프로그램으로, 영향을 받는 버전에서 camel-mllp PHI 로깅을 보여주고 수정 후 억제되는 모습을 보여줍니다.
Apache Camel 취약점에 대한 실행 가능한 개념 증명(PoC) 재현 도구로, camel-mllp 컴포넌트의 logPhi 옵션이 기본값으로 true 로 설정되어 있어, 아무 설정도 하지 않은 배포 환경에서 HL7 페이로드 내용, 즉 환자 데이터가 별도 조치 없이 애플리케이션 로그에 기록되던 문제입니다. (추가로 두 개의 코드 경로는 설정과 무관하게 페이로드 내용을 기록했기 때문에, logPhi를 꺼둔 운영자도 해당 경로에서는 여전히 노출되었습니다.) MLLP는 HL7 임상 메시지를 전송하므로 해당 내용은 PHI이며, 이는 임상 기록이 아닌 로그에 적용되는 보존, 집계, 접근 정책의 적용을 받는 일반 애플리케이션 로그에 도달했습니다.
| 런타임 | 디렉터리 | 스택 |
|---|---|---|
| Camel Spring Boot | camel-spring-boot/ | Spring Boot 3.5.13 + camel-mllp 4.22.0 (영향받음; 4.22.1에서 수정) |
| Camel Quarkus | camel-quarkus/ | Quarkus 3.29.0 + camel-quarkus-mllp (Camel 4.15.0, 영향받음; 수정된 대조군 CQ 3.40.0 / Camel 4.22.1) |
두 모듈 모두 영향받는 동작 및 수정된 동작을 보여줍니다.
MLLP 컨슈머(TCP 서버)가 HL7 메시지를 수신합니다. 컴포넌트는 수신한 페이로드를 DEBUG 레벨로 기록합니다(따라서 MLLP 로거를 DEBUG로 올리고, 로그는 mllp-phi.log에 기록됩니다). 드라이버는 HL7 송신자 역할을 합니다. 즉, PID(환자 이름) 필드에 무해한 마커 PHI-MARKER-DOE-JANE-5E1F가 포함된 HL7 메시지를 MLLP 봉투로 프레이밍하여 전송한 뒤 로그 파일을 읽습니다.
하나의 연결에서 두 개의 메시지를 의도적으로 전송합니다. 컨슈머는 첫 번째 메시지를 검증 읽기에서 처리하고, 두 번째 메시지는 수신 루프를 통해 처리하는데, 바로 이 경로가 수신한 페이로드를 기록하는 경로입니다.
logPhi의 기본값이 true이므로 로그에 Received 170 byte message MSH|…PID|…| PHI-MARKER-DOE-JANE-5E1F^Jane…가 포함됩니다. 즉, 환자 데이터가 그대로 기록됩니다.logPhi의 기본값이 false이므로 로그에 대신 <PHI suppressed>가 표시됩니다.# Camel Spring Boot
cd camel-spring-boot
mvn clean package
docker compose up -d --build
curl -s http://localhost:8080/exploit/attack # affected: PHI in the log; >>> PROVEN
docker compose down
# Patched control
mvn clean package -Dcamel.version=4.22.1
java -jar target/cve-2026-85260-mllp-phi-logging-0.0.1-SNAPSHOT.jar &
curl -s http://localhost:8080/exploit/attack # fixed: <PHI suppressed>; >>> Not exploited
# Camel Quarkus
cd camel-quarkus
mvn clean package
docker compose up -d --build
curl -s http://localhost:8080/exploit/attack # affected (Camel 4.15.0): PHI in the log
docker compose down
# Patched control: CQ 3.40.0 ships Camel 4.22.1
mvn clean package -Dcamel-quarkus.version=3.40.0 -Dquarkus.platform.version=3.40.0
java -jar target/quarkus-app/quarkus-run.jar &
curl -s http://localhost:8080/exploit/attack # fixed: <PHI suppressed>
| 속성 | 값 |
|---|---|
| 구성 요소 | camel-mllp (logPhi 기본값; TcpSocketConsumerRunnable, MllpSocketBuffer, Hl7Util) |
| CWE | CWE-532 (로그 파일에 민감한 정보 삽입) |
| 심각도 | MEDIUM |
| 공격 벡터 | 기본 설정 및 DEBUG 로깅으로 실행되는 MLLP 컨슈머가 수신한 HL7 메시지 |
| 영향 | 보호 대상 건강 정보(환자 데이터)가 일반 애플리케이션 로그에 기록됨 |
| 영향받는 버전 | 4.0.0부터 4.18.5 이전, 4.19.0부터 4.22.1 이전 |
| 수정된 버전 | 4.18.5, 4.22.1, 4.23.0 |
| JIRA | CAMEL-24454 |
| 크레딧 | Claude Security Scan Tool |
권고문: https://camel.apache.org/security/CVE-2026-85260.html
수정 사항은 MllpComponent에서 logPhi 기본값을 true에서 false로
변경하고, 새로운 convertToLoggableString/toLoggableStringAndReset 헬퍼(및 Hl7Util의
PHI_SUPPRESSED_REPLACEMENT_VALUE = "<PHI suppressed>")를 통해 페이로드 로깅을 처리하도록 하여, 이전에 이 플래그를
무시했던 경로들이 이제 이를 준수하도록 합니다. 이는 변경된 기본값입니다: 페이로드 로깅에 의존하던 배포 환경은
이제 logPhi=true를 명시적으로 설정해야 합니다.
logPhi=false로 설정하고, 수정 사항이 적용되기 전까지 두 경로에서 계속 페이로드 내용이 로그에 기록된다는 점을
유의하십시오 — 그에 맞게 로그에 대한 접근을 제한하십시오.
이 저장소는 교육 및 방어 목적으로 게시됩니다: Apache Camel 사용자가 취약점을 이해하고, 영향을 받는지 확인하며, 업그레이드가 문제를 해결하는지 검증할 수 있도록 돕기 위함입니다. HL7 메시지와 그 "환자" 데이터는 실제 동작하지 않는, 가상의 로컬 픽스처입니다. 소유하거나 운영하지 않는 시스템에 이 자료를 사용하지 마십시오.