CVE-2026-85260
Apache Camel: раскрытие защищённой медицинской информации в журналах по умолчанию в Camel-MLLP
- Опубликовано
- 19 окт. 2026 г.
- Обновлено
- 19 окт. 2026 г.
- Назначение CNA
- apache
- Наблюдены доказательства
- 20 окт. 2026 г.
Первичный CVSS
nvd · CVSS 3.1
CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:NНизкий · следующие 30 дней
- Процентиль
- 7,5 %
- Дата модели
- 25 окт. 2026 г.
EPSS – это статистическая оценка, а не достоверность или мера воздействия. Объедините это с CVSS, статусом KEV, воздействием и вашей средой.
Резюме
Уязвимость внедрения конфиденциальной информации в файл журнала в компоненте Apache Camel MLLP. Проблема затрагивает Apache Camel: с 4.0.0 до 4.18.5, с 4.19.0 до 4.22.1. Компонент camel-mllp содержит опцию logPhi, которая определяет, может ли содержимое полезной нагрузки HL7 записываться в журнал. По умолчанию она имела значение true, поэтому развёртывание, не предпринявшее никаких действий, из коробки записывало защищённую медицинскую информацию в журнал. Ещё два пути записывали содержимое полезной нагрузки в журнал независимо от настройки, поэтому даже оператор, отключивший logPhi, оставался уязвимым на этих путях. MLLP используется для передачи клинических сообщений HL7, поэтому соответствующее содержимое является данными пациентов, и оно попадало в обычные журналы приложений, где подчиняется тем правилам хранения, агрегации и доступа, которые развёртывание применяет к журналам в целом, а не к клиническим записям. Обновитесь до Apache Camel 4.23.0, где эта проблема исправлена. Пользователям ветки LTS-релизов 4.18.x следует обновиться до 4.18.5. Пользователям ветки LTS-релизов 4.22.x следует обновиться до 4.22.1. Теперь logPhi по умолчанию имеет значение false и соблюдается на путях, которые ранее его игнорировали. Это изменённое значение по умолчанию: развёртывание, полагавшееся на журналирование полезной нагрузки, теперь должно явно задать logPhi=true. Поскольку руководство по обновлению для такого изменения существует только в основной ветке, операторам, обновляющимся в пределах линий 4.18.x или 4.22.x, следует рассматривать это уведомление как извещение об этом изменении. Для развёртываний, которые не могут обновиться немедленно, задайте logPhi=false и учитывайте, что два пути продолжат записывать содержимое полезной нагрузки до применения исправления; соответствующим образом ограничьте доступ к журналам.
Источники
Рабочий воспроизводитель на Spring Boot и Quarkus для CVE-2026-85260, демонстрирующий логирование PHI в camel-mllp в уязвимых версиях и его подавление после исправления.
Ответственное использование
Используйте информацию об уязвимостях только в тех системах, которыми вы владеете или имеете право тестировать. Kitploit ссылается на метаданные общедоступных исследований и не хранит код эксплойта или вредоносные полезные данные.