PT-2021-3416 · Openemr · Openemr

Dennis Brinkrolf + 1 · Publicado 2021-05-07 · Atualizado 2021-05-11 · CVE-2021-32101

Positive Technologies (AI Summary) · Pt

CVSS v2.0

8.5

Alta

Vetor base

AV:N/AC:L/Au:N/C:C/I:P/A:N

Nome do software vulnerável e versões afetadas

OpenEMR versão 5.0.2.1

Descrição

O problema está relacionado a verificações insuficientes de atribuição de permissões para um recurso crítico no componente portal/patient/ machine config.php do OpenEMR. Isso pode permitir que um invasor remoto obtenha acesso não autorizado a informações protegidas. Um invasor não autenticado pode explorar essa vulnerabilidade registrando uma conta e contornando a verificação de permissão da API do portal, para então manipular e ler os dados de todos os pacientes registrados.

Recomendações

Para a versão 5.0.2.1 do OpenEMR, considere restringir o acesso ao componente portal/patient/ machine config.php até que uma correção esteja disponível. Como solução temporária, limite o registro de novas contas e monitore de perto a atividade da API para minimizar o risco de exploração. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

Incorrect Permission

Enumeração de Fraquezas

CWE-732

Identificadores relacionados

BDU:2021-03268

CVE-2021-32101

Produtos afetados

Openemr

Referências · 7

• https://bdu.fstec.ru/vul/2021-03268 · Nota de Segurança
• https://nvd.nist.gov/vuln/detail/CVE-2021-32101 · Nota de Segurança
• https://community.open-emr.org/t/openemr-5-0-2-patch-5-has-been-released/15431 · Aviso do Fabricante
• https://community.sonarsource.com/t/openemr-5-0-2-1-command-injection-vulnerability-puts-health-records-at-risk/33592 · Nota
• https://blog.sonarsource.com/openemr-5-0-2-1-command-injection-vulnerability · Nota
• https://osv.dev/vulnerability/CVE-2021-32101 · Aviso do Fabricante
• https://portswigger.net/daily-swig/healthcare-security-openemr-fixes-serious-flaws-that-lead-to-command-execution-in-patient-portal · Nota