CVE-2019-14529

OpenEMR プロジェクトにおける複数の SQL インジェクション脆弱性

ファイル内の脆弱性のある関数: /openemr/interface/forms/eye_mag/save.php

条件 : 任意の認証済みユーザー

影響を受けるバージョン: <5.0.2、5.0.2 バージョンで修正済み。

説明

関数は2つあります：

1. "store_PDF"、フィルタリングされていない変数 "encounter" を使用、
2. "canvas"、フィルタリングされていない2つの変数 "encounter" と "zone" を使用。

両関数とも、何のフィルタリングも行わずに DELETE SQL クエリ内でこれらの変数を使用します。両変数は攻撃者によって制御されます。

エラーメッセージには、SQL クエリのコードと SQL エラーメッセージが含まれます。これは、error-based タイプの SQL インジェクションの悪用に使用できます。

影響

このソフトウェアは医療分野で使用されているため、非常に機密性の高い情報が開示されます。

その他

OpenEMR 公式サイト

OpenEMR Git リポジトリ

この問題のパッチ

追記：迅速な対応とパッチを提供してくださった OpenEMR チームの Brady G. Miller 氏に心から感謝します。