`org.hl7.fhir.core` 中的 XSLT 解析中的 XXE 漏洞（CVE-2024-52007）

CVE编号

CVE-2024-52007

利用情况

暂无

补丁情况

N/A

披露时间

2024-11-09

漏洞描述

HAPI FHIR是Java中HL7 FHIR标准在医疗保健互操作性的完整实现。由不同组件执行的XSLT解析容易受到XML外部实体注入攻击。包含恶意DTD标签（<!DOCTYPE foo [<!ENTITY example SYSTEM "/etc/passwd"> ]>）的已处理XML文件可能会生成包含主机系统数据的XML。这影响到在主机上使用org.hl7.fhir.core的用例，其中外部客户端可以提交XML。这与GHSA-6cr6-ph3p-f5rf相关，其修复（#1571和#1717）是不完整的。这个问题已在版本6.4.0中得到解决，建议所有用户进行升级。对于此漏洞，没有已知的解决方法。

解决建议

"将组件 ca.uhn.hapi.fhir:org.hl7.fhir.dstu3 升级至 6.4.0 及以上版本""将组件 ca.uhn.hapi.fhir:org.hl7.fhir.utilities 升级至 6.4.0 及以上版本""将组件 ca.uhn.hapi.fhir:org.hl7.fhir.r4 升级至 6.4.0 及以上版本""将组件 ca.uhn.hapi.fhir:org.hl7.fhir.r5 升级至 6.4.0 及以上版本""将组件 ca.uhn.hapi.fhir:org.hl7.fhir.r4b 升级至 6.4.0 及以上版本""将组件 ca.uhn.hapi.fhir:org.hl7.fhir.dstu2016may 升级至 6.4.0 及以上版本"

参考链接
https://cheatsheetseries.owasp.org/cheatsheets/XML_External_Entity_Prevention...
https://cwe.mitre.org/data/definitions/611.html
https://github.com/hapifhir/org.hl7.fhir.core/issues/1571
https://github.com/hapifhir/org.hl7.fhir.core/pull/1717
https://github.com/hapifhir/org.hl7.fhir.core/security/advisories/GHSA-6cr6-ph3p-f5rf
https://github.com/hapifhir/org.hl7.fhir.core/security/advisories/GHSA-gr3c-q7xf-47vh

CVSS3评分 N/A

• 攻击路径 N/A
• 攻击复杂度 N/A
• 权限要求 N/A
• 影响范围 N/A
• 用户交互 N/A
• 可用性 N/A
• 保密性 N/A
• 完整性 N/A

N/A

CWE-ID	漏洞类型
CWE-611	XML外部实体引用的不恰当限制（XXE）

Exp相关链接

- avd.aliyun.com