CVE-2021-39179

DHIS 2 məlumatların toplanması, idarə edilməsi, təsdiqlənməsi, analitikası və vizuallaşdırılması üçün informasiya sistemidir. DHIS2 Server-də Tracker komponentində aşkar edilmiş SQL Injection zəifliyi autentifikasiya olunmuş uzaq hücumçulara müəyyən edilməmiş vektorlar vasitəsilə ixtiyari SQL əmrlərini icra etməyə imkan verir. Bu zəiflik bütün DHIS2 versiyaları olan 2.34, 2.35 və 2.36-da `/api/trackedEntityInstances` və `/api/trackedEntityInstances/query` API son nöqtələrinə təsir göstərir. O, həmçinin dəstək müddəti başa çatmış (_end of support_) 2.32 və 2.33 versiyalarına da təsir edir - bu versiyaların son *end of support* versiyalarına istisna təhlükəsizlik yeniləmələri əlavə edilmişdir. Versiya 2.31 və daha köhnələr təsirlənməyib. Sistem yalnız DHIS2-yə daxil olmuş istifadəçilər tərəfindən hücuma məruz qala bilər və DHIS2 istifadəçisi kimi daxil olmadan zəiflikdən istifadə etməyin məlum yolu yoxdur. Zəiflik bədniyyətli olmayan istifadəçiyə açıq deyil - onun istismarı üçün şüurlu hücum tələb olunur. Bu zəifliyin uğurlu istismarı bədniyyətli istifadəçiyə DHIS2 instansiyasındakı məlumatları oxumağa, redaktə etməyə və silməyə imkan verə bilər. Bu yamalarla aradan qaldırılan təhlükəsizlik zəifliklərinin məlum istismar metodları yoxdur. Təhlükəsizlik yamaları DHIS2 versiyaları 2.32-EOS, 2.33-EOS, 2.34.7, 2.35.7 və 2.36.4-də mövcuddur. Tracker funksionallığından istifadə edən DHIS2 instansiyaları üçün təsirlənən DHIS2 serverini bu zəifliyin düzəldildiyi yamalardan birinə yeniləməkdən başqa sadə və məlum alternativ həll yolu yoxdur. Tracker funksionallığını İSTİFADƏ ETMƏYƏN tətbiqlər üçün, yeniləmə gözləyərkən müvəqqəti həll yolu kimi `/api/trackedEntityInstances` və `/api/trackedEntityInstances/query` son nöqtələrinə bütün şəbəkə POST girişlərini bloklamaq mümkün ola bilər.