🇰🇷 한글 설명
OpenEMR의 Carecoordination 모듈에서 발생하는 취약점으로, 인증된 사용자가 조작된 CCDA 문서를 업로드하여 서버의 임의 파일을 읽을 수 있습니다. 이 취약점은 XML 외부 엔티티(XXE) 공격을 통해 /etc/passwd와 같은 민감한 시스템 파일에 접근할 수 있게 합니다. OpenEMR 8.0.0.3 버전에서 이 문제가 해결되었습니다.
💡 쉬운 설명
권한이 있는 사용자가 특수하게 만들어진 파일을 시스템에 올리면, 서버 안에 있는 중요한 비밀 문서들을 몰래 훔쳐볼 수 있는 문제입니다. 이를 막기 위해서는 소프트웨어를 최신 버전으로 업데이트해야 합니다.
🇺🇸 원문 (English)
OpenEMR is a free and open source electronic health records and medical practice management application. Prior to version 8.0.0.3, an authenticated user with access to the Carecoordination module can upload a crafted CCDA document containing `<xi:include href="file:///etc/passwd" parse="text"/>` to read arbitrary files from the server. Version 8.0.0.3 patches the issue.
📍 영향받는 시스템
OpenEMR 8.0.0.3 미만 버전
⚔️ 공격 벡터
Carecoordination 모듈을 통한 조작된 CCDA 문서 업로드 (XXE 공격)
🛡️ 대응 방법
OpenEMR을 8.0.0.3 이상의 버전으로 업데이트
🔧 검증 코드
명령어 결과에 8.0.0.3 이상의 버전 번호가 출력되면 취약점이 해결된 상태입니다.
curl -s http://<target_ip>/openemr/version.php | grep -E '8\.0\.0\.3'