PT-2026-43414 · Unknown · Epa4All-Client
Chiara Fliegner
+4
·
Publicado
2026-05-26
·
Atualizado
2026-06-04
·
CVE-2026-47672
CVSS v3.1
6.5
Média
| Vetor | AV:A/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:N |
Nome do Software Vulnerável e Versões Afetadas
epa4all-client versões anteriores a 1.2.5
Descrição
Qualquer chamador acessível via rede pode gravar documentos arbitrários no registro de saúde eletrônico de qualquer paciente acessível pelo cartão SMC-B da instituição. Em implantações mal configuradas, como aquelas que seguem o exemplo de Docker de produção no README, isso pode ser explorado a partir da rede local sem credenciais.
Recomendações
Atualize para a versão 1.2.5.
Use políticas de rede ou proxies para impor a autenticação de serviço para serviço via mTLS (Mutual Transport Layer Security), que é um processo onde ambas as partes em um link de comunicação se autenticam mutuamente.
Execute o serviço em um namespace de rede isolado, como um sidecar do Kubernetes.
Implemente um service-mesh com as políticas correspondentes.
Correção
Missing Authentication
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Epa4All-Client