Vulnerabilidad en HAPI FHIR (CVE-2024-52007)

Gravedad CVSS v3.1:

ALTA

Tipo:

CWE-611 Restricción incorrecta de referencia a entidad externa XML (XXE)

Fecha de publicación:

08/11/2024

Última modificación:

12/11/2024

Descripción

HAPI FHIR es una implementación completa del estándar HL7 FHIR para la interoperabilidad de la atención médica en Java. El análisis XSLT realizado por varios componentes es vulnerable a las inyecciones de entidades externas XML. Un archivo XML procesado con una etiqueta DTD maliciosa ( ]&gt; podría producir XML que contenga datos del sistema host. Esto afecta los casos de uso en los que se utiliza org.hl7.fhir.core dentro de un host donde los clientes externos pueden enviar XML. Esto está relacionado con GHSA-6cr6-ph3p-f5rf, en el que su corrección (#1571 y #1717) estaba incompleta. Este problema se ha solucionado en la versión de lanzamiento 6.4.0 y se recomienda a todos los usuarios que actualicen. No existen workarounds para esta vulnerabilidad.

Impacto

Vector 3.x

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:N/A:N CVSS v3.1 Severidad y Métricas:

Puntuación base: 8.60 ALTA
Vector: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:N/A:N

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Privilegios Requeridos (PR): Ninguno
Interacción del usuario (UI): Ninguno
Alcance (S): Modificado
Impacto a la confidencialidad (C): Alto
Impacto a la integridad (I): Ninguno
Impacto a la disponibilidad (A): Ninguno

Puntuación base 3.x

8.60

Gravedad 3.x

ALTA

Vulnerabilidad en HAPI FHIR (CVE-2024-52007)

Descripción

Impacto

Referencias a soluciones, herramientas e información