PT-2021-23428 · Openemr · Openemr

Stefan Pietsch · Publicado 2021-12-17 · Atualizado 2021-12-22 · CVE-2021-41843

Positive Technologies (AI Summary) · Pt

CVSS v2.0

6.8

Média

Vetor base

AV:N/AC:L/Au:S/C:C/I:N/A:N

Nome do software vulnerável e versões afetadas

OpenEMR versão 6.0.0 anterior à correção 3

Descrição

Uma vulnerabilidade de injeção de SQL autenticada na função de pesquisa do calendário permite que um invasor leia dados de todas as tabelas do banco de dados por meio do parâmetro provider id, conforme demonstrado pela URI “/interface/main/calendar/index.php?module=PostCalendar&func=search”.

Recomendações

Para o OpenEMR versão 6.0.0 antes do patch 3, aplique o patch 3 para resolver o problema.

Como solução temporária, considere restringir o acesso à função de pesquisa do calendário até que um patch esteja disponível.

Evite usar o parâmetro provider id no endpoint da API afetado até que o problema seja resolvido.

Exploit

Correção

SQL injection

Enumeração de Fraquezas

CWE-89

Identificadores relacionados

CVE-2021-41843

Produtos afetados

Openemr

Referências · 8

• 🔥 https://trovent.github.io/security-advisories/TRSA-2109-01/TRSA-2109-01.txt · Exploit
• 🔥 https://trovent.io/security-advisory-2109-01 · Exploit
• 🔥 http://seclists.org/fulldisclosure/2021/Dec/38 · Exploit
• 🔥 http://packetstormsecurity.com/files/165301/OpenEMR-6.0.0-6.1.0-dev-SQL-Injection.html · Exploit
• https://nvd.nist.gov/vuln/detail/CVE-2021-41843 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2021-41843 · Aviso do Fabricante
• https://t.me/defcon_news/92288 · Publicação no Telegram
• https://t.me/cibsecurity/34176 · Publicação no Telegram