Descripción
OpenEMR anterior a 8.4.0 contiene fallas de canonicalización y contención de alcances (scopes) OAuth que permiten a atacantes no autenticados obtener acceso FHIR no aprobado a nivel de sistema. Los atacantes pueden registrar un cliente system:Patient.read en formato con dos puntos que omite la aprobación y luego solicitar el alcance no registrado system/Patient.write para leer, modificar y crear registros de pacientes (Patient).
Qué hacer
Revisa si usas el producto afectado y en qué versión, y aplica la actualización o la mitigación que indique el aviso del fabricante. CISA no ha confirmado que se esté explotando; si eso cambia, esta ficha pasa a «explotada» y te avisamos en el boletín.
Versiones afectadas
- openemr Afectadas: anteriores a 8.4.0 No afectadas: 8.4.0
Según el registro de la vulnerabilidad en CVE.org, tal como lo publicó el fabricante. Confirma tu versión exacta en el aviso del fabricante.
Referencias
- Aviso del fabricantegithub.com/openemr/openemr/security/advisories/GHSA-6xh3-fmm5-jjp4
- Aviso de vulncheck.comvulncheck.com/advisories/openemr-before-8.4.0-oauth-authorization-byp…
Ver el texto original en inglés (CVE.org)
OpenEMR before 8.4.0 OAuth Authorization Bypass via Scope Canonicalization
OpenEMR before 8.4.0 contains OAuth scope canonicalization and containment flaws that allow unauthenticated attackers to obtain unapproved system-level FHIR access. Attackers can register a colon-form system:Patient.read client that bypasses approval, then request unregistered system/Patient.write scope to read, modify, and create Patient records.