OpenEMRの認可回避で患者情報を読み書き、8.4.0で修正
Summary
OpenEMR 8.4.0未満のOAuth認可に不備があり、認証なしで患者レコードを読み書きされるおそれがあります。FHIR APIとシステムスコープを有効にしている施設は、8.4.0へ更新し、承認設定を見直してください。
AI summary
Produced by SecPulse using an external AI model; it may contain mistakes. Check the original description and references below before acting on it.
OpenEMR 8.4.0未満のOAuth認可に不備があり、認証なしで患者レコードを読み書きされるおそれがあります。FHIR APIとシステムスコープを有効にしている施設は、8.4.0へ更新し、承認設定を見直してください。
Affected packages
| Package | Affected → Fixed | |
|---|---|---|
| openemropenemr |
< 8.4.0→ 8.4.0 |
8.4.0 |
Original description The description as published by the source.
OpenEMR before 8.4.0 contains OAuth scope canonicalization and containment flaws that allow unauthenticated attackers to obtain unapproved system-level FHIR access. Attackers can register a colon-form system:Patient.read client that bypasses approval, then request unregistered system/Patient.write scope to read, modify, and create Patient records.
Source: CVE.org (CVE Program・cvelistV5) NVD