OpenEMRの患者ポータルに脆弱性、8.4.0で修正
Summary
OpenEMRの患者ポータルで、使用済みのワンタイムトークンが再利用でき、PINも総当たりで破られて患者情報が読まれるおそれがあります。7.0.1以上8.4.0未満を使う医療機関は、8.4.0へ更新し、ポータルの公開状況を確認してください。
AI summary
Produced by SecPulse using an external AI model; it may contain mistakes. Check the original description and references below before acting on it.
OpenEMRの患者ポータルで、使用済みのワンタイムトークンが再利用でき、PINも総当たりで破られて患者情報が読まれるおそれがあります。7.0.1以上8.4.0未満を使う医療機関は、8.4.0へ更新し、ポータルの公開状況を確認してください。
Affected packages
| Package | Affected → Fixed | |
|---|---|---|
| openemropenemr |
≥ 7.0.1, < 8.4.0→ 8.4.0 |
8.4.0 |
Original description The description as published by the source.
OpenEMR from 7.0.1 before 8.4.0 contains a flaw in src/Common/Auth/OneTimeAuth.php that ignores the enforce_onetime_use and max_access_count flags, never revokes consumed service_auth tokens, and checks login_pin without rate limiting or strict comparison. Attackers holding a captured token can replay it or brute-force the PIN to open patient-portal sessions exposing PHI.
Source: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
References
- advisory nvd.nist.gov
- advisory github.com
- web disclosure@vulncheck.com
- web disclosure@vulncheck.com
- web github.com