CVE-2026-34360
Açıklama
HAPI FHIR, sağlık hizmetleri birlikte çalışabilirliği için HL7 FHIR standardının Java ile yapılmış eksiksiz bir uygulamasıdır. Versiyon 6.9.4 öncesinde, FHIR Validator HTTP servisindeki /loadIG HTTP uç noktası, JSON gövdesi aracılığıyla kullanıcı tarafından sağlanan bir URL'yi kabul eder ve herhangi bir ana bilgisayar adı, şema veya alan adı doğrulaması yapmadan bu adrese sunucu tarafı HTTP istekleri gönderir. Doğrulayıcıya ağ erişimi olan kimlik doğrulanmamış bir saldırgan; dahili ağ servislerini ve bulut meta veri uç noktalarını tarayabilir ve hata tabanlı bilgi sızıntısı yoluyla ağ topolojisini haritalandırabilir. explore=true seçeneğiyle (bu kod yolu için varsayılan değerdir), her istek birden fazla giden HTTP çağrısını tetikleyerek keşif yeteneğini artırır. Bu sorun versiyon 6.9.4 ile düzeltilmiştir.
Nasıl düzeltilir
- hapifhir hl7_fhir_core6.9.4 ya da sonraki bir sürüm
- ca.uhn.hapi.fhir:org.hl7.fhir.core6.9.4 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| hapifhir hl7_fhir_core | v < 6.9.4 | 6.9.4 |
| ca.uhn.hapi.fhir:org.hl7.fhir.coreMaven | v < 6.9.4 | 6.9.4 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.