CVE-2026-85260
Vulnerabilidad de inserción de información sensible en archivo de registro en el componente MLLP de Apache Camel.
Este problema afecta a Apache Camel: desde la 4.0.0 anterior a la 4.18.5, desde la 4.19.0 anterior a la 4.22.1.
El componente camel-mllp incluye una opción logPhi que regula si el contenido de la carga útil HL7 puede escribirse en el registro. Su valor por defecto era true, por lo que una implantación que no hiciera nada registraba información sanitaria protegida de forma predeterminada.
Leer descripción completaMostrar menos
Además, otras dos vías escribían el contenido de la carga útil en el registro independientemente de este ajuste, de modo que incluso un operador que hubiera desactivado logPhi seguía expuesto por esas vías. MLLP se utiliza para transportar mensajes clínicos HL7, por lo que el contenido afectado son datos de pacientes, y acababa en los registros de aplicación habituales, donde está sujeto a la retención, agregación y acceso que la implantación aplique a los registros en general, y no a los que se aplican a los historiales clínicos.
Actualice a Apache Camel 4.23.0, que corrige el problema. Los usuarios de la serie LTS 4.18.x deben actualizar a la 4.18.5. Los usuarios de la serie LTS 4.22.x deben actualizar a la 4.22.1. logPhi tiene ahora por defecto el valor false y se respeta en las vías que antes lo ignoraban. Se trata de un cambio de valor por defecto: una implantación que dependiera del registro de la carga útil debe establecer ahora logPhi=true de forma explícita. Dado que la guía de actualización de un cambio de este tipo solo está disponible en la rama principal, los operadores que actualicen dentro de las series 4.18.x o 4.22.x deben tomar este aviso como notificación de dicho cambio. En las implantaciones que no puedan actualizar de inmediato, establezca logPhi=false y tenga en cuenta que dos vías seguirán registrando el contenido de la carga útil hasta que se aplique la corrección; restrinja en consecuencia el acceso a los registros.
Traducción automática del texto original de NVD (en inglés).
CVSS
- Puntuación base
- 5.5
- Versión
- 3.1
- Vector
- CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N
Probabilidad de explotación (EPSS)
- Probabilidad de explotación en los próximos 30 días
- 0.15 %
- Percentil entre todas las CVEs puntuadas
- 4
- Fecha de la puntuación
- 20/10/2026
EPSS (Exploit Prediction Scoring System, de FIRST) estima la probabilidad de que una vulnerabilidad sea explotada en 30 días. Complementa a CVSS (impacto) y a CISA KEV (explotación confirmada).
Exploits públicos
Hay código de explotación o plantillas de detección públicos. No es lo mismo que explotación activa confirmada (KEV), pero aumenta el riesgo: parchee con prioridad.
- Prueba de concepto en GitHub (no verificada) · Lista de pruebas de concepto en GitHub
⚠️ Las pruebas de concepto de GitHub no están verificadas: algunas son falsas o contienen malware. No las ejecute nunca fuera de un laboratorio aislado.
Técnicas ATT&CK
Cómo se explota esta vulnerabilidad y qué consigue el atacante, en el lenguaje de MITRE ATT&CK.
- Explotación
T1068Exploitation for Privilege Escalationprivilege escalation80 % - Impacto principal
T1005Data from Local Systemcollection65 %
Vector AV:L con UI:N sin interacción → T1068. El texto indica que PHI de mensajes HL7 queda en logs de aplicación legibles (C:H), lo que sustenta lectura de datos locales (T1005).
Inferido por nuestro agente de análisis a partir de la descripción oficial, el vector CVSS y la CWE, y comprobado por un supervisor. Puede contener errores.
Mitigaciones ATT&CK que cubren estas técnicas
Tecnologías afectadas (1)
⚠ Inferidas por IA a partir de la descripción — NVD aún no ha analizado esta CVE; no son CPE verificados.
CWE
- CWE-532
Referencias
JSON original (NVD)
Mostrar
{
"id": "CVE-2026-85260",
"cveTags": [],
"metrics": {
"ssvcV203": [
{
"source": "134c704f-9b21-4f2e-91b3-4a467353bcc0",
"ssvcData": {
"id": "CVE-2026-85260",
"role": "CISA Coordinator",
"options": [
{
"exploitation": "none"
},
{
"automatable": "no"
},
{
"technicalImpact": "partial"
}
],
"version": "2.0.3",
"timestamp": "2026-10-19T16:46:52.790872Z"
}
}
],
"cvssMetricV31": [
{
"type": "Secondary",
"source": "security@apache.org",
"cvssData": {
"scope": "UNCHANGED",
"version": "3.1",
"baseScore": 5.5,
"attackVector": "LOCAL",
"baseSeverity": "MEDIUM",
"vectorString": "CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N",
"integrityImpact": "NONE",
"userInteraction": "NONE",
"attackComplexity": "LOW",
"availabilityImpact": "NONE",
"privilegesRequired": "LOW",
"confidentialityImpact": "HIGH"
},
"impactScore": 3.6,
"exploitabilityScore": 1.8
}
]
},
"affected": [
{
"source": "security@apache.org",
"affectedData": [
{
"vendor": "Apache Software Foundation",
"product": "Apache Camel",
"versions": [
{
"status": "affected",
"version": "4.0.0",
"lessThan": "4.18.5",
"versionType": "maven"
},
{
"status": "affected",
"version": "4.19.0",
"lessThan": "4.22.1",
"versionType": "maven"
},
{
"status": "unaffected",
"version": "4.18.5",
"versionType": "maven"
},
{
"status": "unaffected",
"version": "4.22.1",
"versionType": "maven"
},
{
"status": "unaffected",
"version": "4.23.0",
"versionType": "maven"
}
],
"packageURL": "pkg:maven/org.apache.camel/camel-mllp",
"packageName": "org.apache.camel:camel-mllp",
"collectionURL": "https://repo.maven.apache.org/maven2",
"defaultStatus": "unaffected"
}
]
}
],
"published": "2026-10-19T11:17:23.840",
"references": [
{
"url": "https://camel.apache.org/security/CVE-2026-85260.html",
"source": "security@apache.org"
},
{
"url": "https://github.com/apache/camel/pull/25832",
"source": "security@apache.org"
},
{
"url": "https://github.com/apache/camel/pull/25944",
"source": "security@apache.org"
},
{
"url": "https://github.com/apache/camel/pull/25946",
"source": "security@apache.org"
},
{
"url": "https://issues.apache.org/jira/browse/CAMEL-24454",
"source": "security@apache.org"
}
],
"vulnStatus": "Awaiting Analysis",
"weaknesses": [
{
"type": "Secondary",
"source": "security@apache.org",
"description": [
{
"lang": "en",
"value": "CWE-532"
}
]
}
],
"descriptions": [
{
"lang": "en",
"value": "Insertion of Sensitive Information into Log File vulnerability in Apache Camel MLLP component.\n\nThis issue affects Apache Camel: from 4.0.0 before 4.18.5, from 4.19.0 before 4.22.1.\n\nThe camel-mllp component carries a logPhi option that governs whether HL7 payload content may be written to the log. It defaulted to true, so a deployment that did nothing logged protected health information out of the box. Two further paths wrote payload content to the log regardless of the setting, so even an operator who had turned logPhi off was still exposed on those paths. MLLP is used to carry HL7 clinical messages, so the content concerned is patient data, and it reached ordinary application logs where it is subject to whatever retention, aggregation and access the deployment applies to logs generally rather than to clinical records.\n\nUpgrade to Apache Camel 4.23.0, which fixes the issue. Users on the 4.18.x LTS releases stream should upgrade to 4.18.5. Users on the 4.22.x LTS releases stream should upgrade to 4.22.1. logPhi now defaults to false and is honoured on the paths that previously ignored it. This is a changed default: a deployment that relied on payload logging must now set logPhi=true explicitly. Because the upgrade guide for a change like this lives on the main branch only, operators upgrading within the 4.18.x or 4.22.x lines should treat this advisory as the notice of that change. For deployments that cannot upgrade immediately, set logPhi=false and be aware that two paths will continue to log payload content until the fix is applied; restrict access to the logs accordingly."
}
],
"lastModified": "2026-10-19T20:45:51.597",
"sourceIdentifier": "security@apache.org"
}