🇰🇷 한글 설명
OpenEMR 8.0.0 미만 버전의 레이아웃 기반 양식(LBF) 인쇄 보기 기능에서 권한 검증 미흡 취약점이 발견되었습니다. 인증된 사용자가 formid, visitid 또는 patientid를 조작하여 권한이 없는 다른 환자의 진료 기록 양식을 열람하거나 인쇄할 수 있습니다.
💡 쉬운 설명
로그인한 사용자가 주소창의 숫자 값을 살짝 바꾸는 것만으로 다른 환자의 의료 기록을 몰래 볼 수 있는 보안 결함입니다. 이로 인해 환자의 민감한 개인 의료 정보가 유출될 위험이 있습니다.
🇺🇸 원문 (English)
OpenEMR is a free and open source electronic health records and medical practice management application. Prior to version 8.0.0, the Layout-Based Form (LBF) printable view accepts `formid` and `visitid` (or `patientid`) from the request and does not verify that the form belongs to the current user’s authorized patient/encounter. An authenticated user with LBF access can enumerate form IDs and view or print any patient’s encounter forms. Version 8.0.0 fixes the issue.
📍 영향받는 시스템
OpenEMR 8.0.0 미만 모든 버전
⚔️ 공격 벡터
인증된 사용자가 HTTP 요청의 파라미터(formid, visitid, patientid)를 조작하여 타인의 데이터에 접근
🛡️ 대응 방법
OpenEMR를 최신 보안 패치가 적용된 8.0.0 이상의 버전으로 업데이트하십시오.
🔧 검증 코드
시스템의 OpenEMR 버전을 확인하여 8.0.0 미만인 경우 해당 취약점에 노출된 것으로 판단합니다.
curl -s http://<target_ip>/openemr/ | grep -i 'OpenEMR' && echo 'Check version via application UI or package manager'
📊 CVSS Vector String
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N
💻 영향받는 소프트웨어
IBM Security Verify Access