Eclipse Open Integration Engine 4.7.0 : la première version sous la bannière Eclipse

L'équipe du projet Open Integration Engine (OIE) est heureuse d'annoncer la disponibilité générale d'Eclipse Open Integration Engine 4.7.0, une version recommandée pour la production. Cette publication revêt une importance particulière : il s'agit de la toute première version publiée sous l'égide de la Eclipse Foundation, marquant l'aboutissement de la transition du projet vers la gouvernance Eclipse.

Une version tournée vers la sécurité

La priorité de cette mouture est clairement le renforcement de la sécurité, avec la correction de trois vulnérabilités critiques dans le code du moteur :

• CVE-2026-82583 : injection SQL dans la découverte des métadonnées de tables de l'API Database Connector ;

• CVE-2026-78224 : expansion d'entités externes XML dans l'entrée du transformateur XSLT ;

• CVE-2026-82578 : expansion d'entités externes XML dans le traitement par lots XML basé sur XPath.

Ces correctifs s'accompagnent d'un durcissement généralisé : rejet des déclarations DOCTYPE dans les étapes XSLT, le découpage par lots XML et l'analyseur XML strict HL7 v2, ainsi qu'un renforcement de l'analyseur XML HL7 et des recherches de métadonnées personnalisées.

Les dépendances embarquées n'ont pas été oubliées : les montées de version concernent notamment Netty (34 CVE corrigées), Log4j, Jackson, Jakarta Mail, ainsi que les pilotes JDBC PostgreSQL et SQL Server. Au total, ce sont 45 CVE supplémentaires qui sont traitées dans les composants embarqués.

Enfin, une rupture volontaire et salutaire : les installations neuves ne démarrent plus avec le couple admin/admin. Le mot de passe administrateur doit être défini avant la première initialisation de la base de données, ou être récupéré dans le journal du serveur au premier démarrage. La configuration par défaut impose désormais un minimum de 15 caractères, une limite de 100 tentatives et un verrouillage d'une heure.

Nouveautés fonctionnelles

• Contrôle accru des connexions HTTP : l'HTTP Sender peut lier ses connexions sortantes à une adresse locale choisie, et l'HTTP Listener offre une taille maximale d'en-têtes configurable.

• Filtres de recherche récents : réutilisez jusqu'à dix filtres récents par canal. Ceux-ci restent en mémoire du processus Administrator plutôt que d'être écrits dans les préférences locales, évitant l'exposition de termes de recherche sensibles.

• Soumission par lots complète : le nouveau point d'accès POST /api/channels/{channelId}/batchMessagesWithObj retourne l'identifiant de chaque message produit.

• Build Docker dans le dépôt : configuration de démarrage (base de données, JVM) par variables d'environnement et secrets montés. Aucune image n'est publiée pour cette version.

Corrections notables

Le correctif le plus attendu concerne les pilotes JDBC dans les ressources personnalisées : sous Java 9 et versions ultérieures, un pilote fourni via une ressource de bibliothèque pouvait ne pas se charger, empêchant l'utilisation d'une version différente de celle embarquée par le serveur. Les ressources isolées peuvent désormais accéder aux classes de la plateforme Java tout en restant isolées des bibliothèques du moteur.

Sont également corrigés : les insertions par lots JDBC sous Oracle, le démarrage unique des plugins serveur implémentant plusieurs interfaces d'extension, les blocages du CLI en cas d'échec d'authentification, la disponibilité de channelName dans les scripts postprocesseurs, et la préservation du message en cas de résultat undefined du préprocesseur.

Points d'attention pour la mise à niveau

La migration vers 4.7.0 appelle une vigilance particulière sur plusieurs points :

• Pilote Microsoft SQL Server : la version embarquée passe de 8.4.1 à 10.2.4, qui chiffre par défaut et valide le certificat du serveur. Les connexions fonctionnant sans certificat de confiance peuvent échouer, et un moteur dont la base est sur SQL Server peut refuser de démarrer (PKIX path building failed).

• XML avec DOCTYPE : rejeté dans les étapes XSLT, le découpage par lots XML et l'analyseur strict HL7 v2. Les intégrations concernées doivent envoyer du XML autonome.

• Java : les installateurs avec Java intégré passent d'Azul Zulu 17 à Eclipse Temurin 21. Java 17 reste le minimum requis.

• Administrator : vérification de JavaFX au démarrage, avec un message explicite si le module javafx.graphics est absent.

• oieserver.ps1 est supprimé : utilisez le lanceur oieserver.

• API et code personnalisé : les filtres de métadonnées personnalisées doivent nommer exactement les colonnes configurées, selectLimit est déprécié et ignoré, et le point d'accès JNLP autonome des extensions a disparu.

Côté construction, Ant cède la place à Gradle : les builds à partir des sources doivent migrer, par exemple via ./gradlew build -PdisableSigning=true.

Une communauté qui grandit

Cette version n'aurait pas été possible sans ses contributeurs, et l'équipe tient à saluer particulièrement les nouveaux arrivants qui ont effectué leur première contribution : @jbeckers, @ggiannola, @e210, @kerfern, @miguel-figueiredoPT et @paul-hristea.

En conclusion

Avec cette version 4.7.0, Open Integration Engine entame son nouveau chapitre sous la bannière Eclipse sur de solides bases : sécurité renforcée, modernisation de la chaîne de construction (Gradle, build Docker, tests de fumée automatisés sur cinq bases de données) et durcissement des valeurs par défaut. Les notes de version complètes, incluant chaque CVE et les considérations de mise à niveau, sont disponibles sur GitHub.

Ressources :

• Annonce officielle : https://openintegrationengine.org/news/oie-4-7-0/

• Notes de version : https://github.com/OpenIntegrationEngine/engine/releases/tag/v4.7.0

• Téléchargement : depuis la page des versions sur GitHub