CVE-2026-34359

إصدارات HAPI FHIR الأقدم من 6.9.4

يستخدم البرنامج String.startsWith() لمطابقة عناوين URL للطلبات مع عناوين URL للخوادم المُعدة مسبقًا من أجل إرسال بيانات اعتماد المصادقة. تفتقر عناوين URL للخوادم المُعدة مسبقًا إلى فحص وجود شرطة مائلة في النهاية أو فحص حدود المضيف، مما يسمح لنطاق يسيطر عليه المهاجم بمطابقة البادئة وتلقي بيانات اعتماد المصادقة، مثل الرموز المميزة Bearer أو بيانات اعتماد المصادقة الأساسية أو مفاتيح واجهة برمجة التطبيقات (API)، عندما يتبع عميل HTTP إعادة التوجيه إلى ذلك النطاق. تنبع المشكلة من الدالة ManagedWebAccessUtils.getServer()، وتحديدًا في org.hl7.fhir.utilities/src/main/java/org/hl7/fhir/utilities/http/ManagedWebAccessUtils.java:26. توجد الثغرة الأمنية في التكوين FhirSettingsPOJO.java:19، حيث يتم تعريف عنوان URL لخادم المصطلحات في بيئة الإنتاج بدون شرطة مائلة في النهاية. وهذا يسمح للمهاجم باستغلال الثغرة من خلال مسارات إعادة التوجيه عبر SimpleHTTPClient أو ManagedFhirWebAccessor، مما قد يؤدي إلى سرقة بيانات الاعتماد وانتحال الهوية. كما يوجد نفس النمط المعرض للخطر في ManagedWebAccess.isLocal()، مما قد يتيح تخفيض مستوى أمان TLS للمجالات التي يسيطر عليها المهاجم.

الإصدارات السابقة للإصدار 6.9.4: استبدل فحص startsWith() في ManagedWebAccessUtils.getServer() بالتحقق الصحيح من حدود مضيف عنوان URL. قم بتطبيق نفس الإصلاح على ManagedWebAccess.isLocal() وعلى التحميل الزائد لـ getServer() ذي الحجج الثلاثة.