CVE-2021-32704

DHIS 2 məlumatların toplanması, idarə edilməsi, təsdiqlənməsi, analitikası və vizuallaşdırılması üçün nəzərdə tutulmuş informasiya sistemidir. DHIS2-nin müəyyən versiyalarında SQL inyeksiyası təhlükəsizlik boşluğu aşkar edilmişdir. Bu zəiflik DHIS2-nin 2.34.4, 2.35.2, 2.35.3, 2.35.4 və 2.36.0 versiyalarındakı /api/trackedEntityInstances API son nöqtəsinə təsir göstərir. Daha əvvəlki versiyalar, məsələn, 2.34.3 və 2.35.1, həmçinin bütün 2.33 və daha köhnə versiyalar bundan təsirlənmir. Sistem yalnız DHIS2-də daxil olmuş istifadəçilər tərəfindən hücuma məruz qala bilər və DHIS2 istifadəçisi kimi daxil olmadan bu zəiflikdən istifadə etməyin məlum yolu yoxdur. Bu zəifliyin uğurlu istismarı bədniyyətli istifadəçiyə DHIS2 nümunəsindəki məlumatları oxumağa, redaktə etməyə və silməyə imkan verə bilər. Bu yamaları buraxan təhlükəsizlik boşluqlarının məlum istismar metodları yoxdur. Bununla belə, biz 2.34, 2.35 və 2.36 versiyalarını istifadə edən bütün DHIS2 tətbiqlərinin bu yamaları mümkün qədər tez quraşdırmasını şiddətlə tövsiyə edirik. Tracker funksionallığını istifadə edən DHIS2 nümunələri üçün təsirlənmiş DHIS2 serverini bu zəifliyin aradan qaldırıldığı yamalardan birinə yeniləməkdən başqa sadə və məlum alternativ həll yolu yoxdur. Tracker funksionallığından istifadə ETMƏYƏN tətbiqlər üçün yeniləmə gözlənilən müddətdə müvəqqəti həll yolu kimi /api/trackedEntityInstance son nöqtəsinə bütün şəbəkə POST girişlərini bloklamaq mümkün ola bilər.