CVE-2026-55470 high CVSS 7.5

Vulnérabilité dans ca.uhn.hapi.fhir:org.hl7.fhir.dstu2 (CVE-2026-55470)

Résumé

Vulnérabilité dans ca.uhn.hapi.fhir:org.hl7.fhir.dstu2 (CVE-2026-55470). Risque d'opérations non autorisées ou de divulgation. Exploitable via RegexTimeout. Atténuation : mise à jour vers 6.9.10 ou plus.

Description d'origine

La description telle que publiée par la source (souvent en anglais).

Summary

The fix for CVE-2026-45367 added RegexTimeout protection to the matches() function in DSTU2016MAY, DSTU3, R4, R4B, and R5, but the DSTU2 module was incompletely patched. In org.hl7.fhir.dstu2, replaceMatches() was updated while matches() at line 2462 still calls the raw String.matches(sw) without any timeout, allowing an unauthenticated attacker to trigger catastrophic regex backtracking and exhaust server CPU.

Details

Incomplete patch

Within the same file
(org.hl7.fhir.dstu2/utils/FHIRPathEngine.java), the two functions were
patched inconsistently:

Line 2226 — replaceMatches() — PATCHED:

result.add(new StringType(
    RegexTimeout.replaceAll(
        convertToString(focus.get(0)), regex, repl, regexTimeoutMillis)));

Line 2462 — matches() — NOT PATCHED:

result.add(new BooleanType(
    convertToString(focus.get(0)).matches(sw)));
// ↑ raw String.matches() — no RegexTimeout, no complexity check

DSTU3 line 2447 — matches() — PATCHED (for comparison):

result.add(new BooleanType(
    RegexTimeout.matches(st, sw, regexTimeoutMillis)));

Module-by-module status

Module	`matches()`	`replaceMatches()`
DSTU2	❌ raw `str.matches(sw)`	✅ `RegexTimeout.replaceAll()`
DSTU2016MAY	✅ `RegexTimeout.matches()`	✅
DSTU3	✅ `RegexTimeout.matches()`	✅
R4	✅ `RegexTimeout.matches()`	✅
R4B	✅ `RegexTimeout.matches()`	✅
R5	✅ `RegexTimeout.…

Source: GitHub Security Advisories (Global) NVD GitHub Advisory

Résumé généré automatiquement

Assemblé par SecPulse à partir des données sources (CVSS, CWE, versions affectées) à l'aide de modèles, sans IA. Vérifiez la description d'origine et les références ci-dessous.

Une vulnérabilité référencée CVE-2026-55470 a été découverte dans ca.uhn.hapi.fhir:org.hl7.fhir.dstu2.
Des attaquants peuvent cibler un point d'entrée spécifique comme RegexTimeout à distance pour détourner le produit.
Risque d'opérations non autorisées ou de divulgation. Score CVSS : 7.5/10.
Action : mettez à jour ca.uhn.hapi.fhir:org.hl7.fhir.dstu2 vers 6.9.10 ou supérieur.
En cas de doute, contactez votre service informatique ou cherchez « ca.uhn.hapi.fhir:org.hl7.fhir.dstu2 CVE-2026-55470 » sur le site de l'éditeur.

CVE-2026-55470 (ca.uhn.hapi.fhir:org.hl7.fhir.dstu2) — CWE-1333 / CVSS v3 7.5
Vecteur d'attaque : distant (réseau) / non authentifié / sans interaction utilisateur
Surface d'attaque : RegexTimeout / org.hl7.fhir.dstu2 / FHIRPathEngine
Correctif : 6.9.10 — appliquer immédiatement
Plan : 1) Audit SBOM, 2) Mise à jour staging→prod, 3) Surveillance WAF/proxy sur les endpoints affectés, 4) Recherche d'IOC dans les logs.
Réfs : voir GHSA / avis éditeur / version corrigée liés sur cette page.

❓ Quel est le problème

Une vulnérabilité (CWE-1333) affecte ca.uhn.hapi.fhir:org.hl7.fhir.dstu2. Les attaquants atteignent le code vulnérable via RegexTimeout sans authentification.

📍 Périmètre concerné

Consultez l'avis de l'éditeur pour les versions affectées de ca.uhn.hapi.fhir:org.hl7.fhir.dstu2. Surface d'attaque : RegexTimeout / org.hl7.fhir.dstu2 / FHIRPathEngine.

🔥 Gravité

Gravité : Élevée (CVSS 7.5/10). Risque d'opérations non autorisées ou de divulgation.

🔧 Comment corriger

Mettre à jour vers 6.9.10.

🛡️ Contournement

En attendant le correctif : désactivez la fonctionnalité concernée, appliquez des règles WAF, ou restreignez l'accès par ACL réseau.

🔍 Détection

Recherchez dans les logs des requêtes correspondant aux IOC connus de cette CVE. Auditez les SBOM/dépendances.

Actions de réponse

Étapes concrètes et exemples de commandes que les équipes SOC/SRE doivent exécuter dans l'ordre

1
Identify exposure identify
```
Audit SBOM/dependencies for affected components.
```
資産台帳・SBOM・依存マニフェストで ca.uhn.hapi.fhir:org.hl7.fhir.dstu2 を使っているサービスとバージョンを洗い出す。
2
Apply patch patch
```
Upgrade ca.uhn.hapi.fhir:org.hl7.fhir.dstu2 to 6.9.10
```
ステージング環境で 6.9.10 に上げて回帰テスト → 本番反映。回帰テストはアプリの主要ハッピーパスを含めること。
3
Post-deployment verification verify
```
Confirm patched version is live in production
```
パッチ適用後、ステージングで PoC または同等の悪用パターンを再現して脆弱性が閉じたことを確認。本番ではアクセスログ・WAF でアラート再発が無いか継続監視。

Paquets affectés

maven ca.uhn.hapi.fhir:org.hl7.fhir.dstu2

[{"type":"ECOSYSTEM","events":[{"introduced":"0"},{"fixed":"6.9.10"}]}]

maven ca.uhn.hapi.fhir:org.hl7.fhir.convertors

[{"type":"ECOSYSTEM","events":[{"introduced":"0"},{"fixed":"6.9.10"}]}]

maven ca.uhn.hapi.fhir:org.hl7.fhir.validation

[{"type":"ECOSYSTEM","events":[{"introduced":"0"},{"fixed":"6.9.10"}]}]

maven ca.uhn.hapi.fhir:org.hl7.fhir.validation.cli

[{"type":"ECOSYSTEM","events":[{"introduced":"0"},{"fixed":"6.9.10"}]}]

Références

Métadonnées

CVE: CVE-2026-55470
GHSA: GHSA-fxj4-p9xp-37v5
Publication: 2026-06-17
Première détection SecPulse: il y a 4 mois
Source initiale: GitHub Security Advisories (Global)

Étiquettes (cliquez pour l'explication)

Programming Languages

Java

Tous

Cwe 1333 Hapifhir Hl7 Fhir Core

CWE

CWE-1333

Sources de détection

OSV.dev (Open Source Vulnerabilities) il y a 4 mois
NIST National Vulnerability Database il y a 3 mois
GitHub Security Advisories (Global) il y a 4 mois