CVE-2024-37734

Eskalacja uprawnień w OpenEMR 7.0.2 przez parametr noteid

CVSS 9.8v3.1pub. 2024-06-26upd. 2025-05-01

Podatność w OpenEMR 7.0.2 umożliwia zdalnemu atakującemu eskalację uprawnień (privilege escalation) bez uwierzytelnienia poprzez spreparowane żądanie POST. Ocena CVSS 9.8 wskazuje na krytyczne zagrożenie dla systemów medycznych korzystających z tej wersji oprogramowania.

▸ Pokaż oryginał (EN)

An issue in OpenEMR 7.0.2 allows a remote attacker to escalate privileges viaa crafted POST request using the noteid parameter.

🤖 Analiza AI

Jak działa

Atakujący wysyła spreparowane żądanie POST zawierające zmanipulowaną wartość parametru noteid. Aplikacja nieprawidłowo weryfikuje uprawnienia (CWE-279 — Incorrect Execution-Assigned Permissions), co pozwala na obejście mechanizmów kontroli dostępu. W wyniku tego zdalny użytkownik bez żadnych uprawnień może uzyskać wyższy poziom dostępu w systemie.

Skutki

Atakujący może uzyskać nieautoryzowane, podwyższone uprawnienia w systemie OpenEMR, co potencjalnie prowadzi do pełnego przejęcia aplikacji oraz dostępu do wrażliwych danych medycznych pacjentów.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami — poprawka została uwzględniona w pull requeście #7435 w repozytorium GitHub projektu OpenEMR. Zaleca się niezwłoczną aktualizację do wersji zawierającej tę poprawkę.

Kogo dotyczy

OpenEMR w wersji 7.0.2

Uwagi

Informacje o podatności oraz materiały dowodowe (proof-of-concept) zostały opublikowane przez badacza A3h1nt w repozytorium GitHub pod adresem https://github.com/A3h1nt/CVEs/tree/main/OpenEMR.