CVE-2026-34360
Təsvir
HAPI FHIR, səhiyyədə qarşılıqlı əlaqəlilik üçün HL7 FHIR standartının Java dilində tam tətbiqidir. Versiya 6.9.4-dən əvvəl, FHIR Validator HTTP xidmətindəki /loadIG HTTP son nöqtəsi (endpoint), JSON gövdəsi vasitəsilə istifadəçi tərəfindən təmin edilən URL-i qəbul edir və heç bir host adı, sxem və ya domen yoxlaması aparmadan həmin ünvana server tərəfli HTTP sorğuları göndərir. Validatora şəbəkə girişi olan autentifikasiya olunmamış hücumçu, xəta əsaslı məlumat sızması vasitəsilə daxili şəbəkə xidmətlərini və bulud metadata son nöqtələrini araşdıra, həmçinin şəbəkə topologiyasını xəritələndirə bilər. explore=true parametri ilə (bu kod yolu üçün standart parametrdir), hər bir sorğu çox sayda çıxan HTTP çağırışını tetikləyərək kəşfiyyat imkanlarını artırır. Bu problem versiya 6.9.4-də aradan qaldırılmışdır.
Necə düzəltmək olar
- hapifhir hl7_fhir_core6.9.4 və ya daha yeni versiya
- ca.uhn.hapi.fhir:org.hl7.fhir.core6.9.4 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| hapifhir hl7_fhir_core | v < 6.9.4 | 6.9.4 |
| ca.uhn.hapi.fhir:org.hl7.fhir.coreMaven | v < 6.9.4 | 6.9.4 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.