CVE-2026-85260

总结

Apache Camel MLLP 组件中存在将敏感信息插入日志文件的漏洞。此问题影响 Apache Camel：从 4.0.0 到 4.18.5 之前，从 4.19.0 到 4.22.1 之前。camel-mllp 组件带有一个 logPhi 选项，用于控制是否可以将 HL7 负载内容写入日志。该选项默认值为 true，因此未做任何配置的部署开箱即会记录受保护的健康信息。另有两条路径无论该设置如何都会将负载内容写入日志，因此即使操作员已关闭 logPhi，在这些路径上仍会暴露。MLLP 用于传输 HL7 临床消息，因此所涉及的内容是患者数据，而这些数据进入了普通应用程序日志，受部署对日志（而非临床记录）普遍适用的保留、聚合和访问策略约束。请升级到 Apache Camel 4.23.0，该版本修复了此问题。使用 4.18.x LTS 发布流的用户应升级到 4.18.5。使用 4.22.x LTS 发布流的用户应升级到 4.22.1。logPhi 现在默认值为 false，并且在先前忽略该设置的路径上也会生效。这是一项默认值变更：依赖负载日志记录的部署现在必须显式设置 logPhi=true。由于此类变更的升级指南仅存在于主分支上，在 4.18.x 或 4.22.x 系列内升级的操作员应将本公告视为该变更的通知。对于无法立即升级的部署，请设置 logPhi=false，并注意在应用修复之前，有两条路径将继续记录负载内容；请相应地限制对日志的访问。

来源

• CVE-2026-85260PoC

  针对 CVE-2026-85260 的可运行 Spring Boot 和 Quarkus 复现程序，演示受影响版本中 camel-mllp 的 PHI 日志记录，以及修复后的抑制效果。