CVE-2026-85260

Apache Camel MLLP bileşeninde Hassas Bilgilerin Günlük Dosyasına Eklenmesi zafiyeti bulunmaktadır. Bu sorun şu Apache Camel sürümlerini etkilemektedir: 4.0.0'dan 4.18.5 öncesine kadar ve 4.19.0'dan 4.22.1 öncesine kadar olan sürümler. camel-mllp bileşeni, HL7 yük içeriğinin günlüğe yazılıp yazılamayacağını belirleyen bir logPhi seçeneği sunar. Bu seçenek varsayılan olarak true değerindeydi, bu nedenle herhangi bir yapılandırma yapılmayan kurulumlar kutudan çıktığı haliyle korunan sağlık bilgilerini günlüğe kaydediyordu. Ayrıca iki farklı yol, ayardan bağımsız olarak yük içeriğini günlüğe yazıyordu; böylece logPhi seçeneğini kapatan operatörler bile bu yollarda risk altındaydı. MLLP, HL7 klinik mesajlarını taşımak için kullanılır, dolayısıyla söz konusu içerikler hasta verileridir ve bu veriler, klinik kayıtlar yerine genel günlükleme politikalarının saklama, toplama ve erişim kurallarına tabi olduğu standart uygulama günlüklerine ulaşmaktaydı. Sorunu gideren Apache Camel 4.23.0 sürümüne yükseltin. 4.18.x LTS yayın akışındaki kullanıcılar 4.18.5 sürümüne, 4.22.x LTS yayın akışındaki kullanıcılar ise 4.22.1 sürümüne yükseltmelidir. logPhi artık varsayılan olarak false değerindedir ve daha önce görmezden gelinen yollarda da dikkate alınmaktadır. Bu durum değiştirilmiş bir varsayılan değerdir: Yük günlüklemesine güvenen bir kurulumun artık açıkça logPhi=true şeklinde ayarlama yapması gerekir. Bu tür bir değişikliğe ilişkin yükseltme kılavuzu yalnızca ana dalda yer aldığından, 4.18.x veya 4.22.x hatlarında yükseltme yapan operatörler bu bildirimi ilgili değişikliğin bildirimi olarak kabul etmelidir. Hemen yükseltme yapamayan kurulumlar için logPhi=false olarak ayarlayın ve düzeltme uygulanana kadar iki yolun yük içeriğini kaydetmeye devam edeceğinin bilincinde olun; günlük erişimlerini buna göre kısıtlayın.