CVE-2024-51132-POC

취약점 유형

XXE - XML 외부 엔티티 주입. https://github.com/hapifhir/org.hl7.fhir.core/ 저장소의 여러 아티팩트 또는 모듈에서 발견된 XXE 취약점은 SSRF 수행, 정보 유출 등으로 더 악용될 수 있습니다.

영향을 받는 제품 및 버전

org.hl7.fhir.convertors < 6.4.0

org.hl7.fhir.dstu2 < 6.4.0

org.hl7.fhir.dstu2016may < 6.4.0

org.hl7.fhir.dstu3 < 6.4.0

org.hl7.fhir.r4 < 6.4.0

org.hl7.fhir.r4b < 6.4.0

org.hl7.fhir.r5 < 6.4.0

org.hl7.fhir.utilities < 6.4.0

org.hl7.fhir.validation < 6.4.0

비고

아마도 2024년 10월 19일에 제 코드 분석 도구로 취약한 지점 중 하나를 발견했습니다. 그러나 이후 유지관리자들이 취약점을 수정하기 위해 여러 번 커밋한 것을 발견했고, 제가 생각했던 것보다 같은 문제를 가진 지점이 더 많다는 것을 보여주었습니다.

참조

https://github.com/hapifhir/org.hl7.fhir.core/commit/7ede053a5fca50cc2802884c661a241d51703a67