🇰🇷 한글 설명
HAPI FHIR 6.9.4 미만 버전의 FHIR Validator HTTP 서비스에서 /loadIG 엔드포인트가 사용자로부터 입력받은 URL에 대한 검증 없이 서버 측 HTTP 요청을 수행합니다. 인증되지 않은 공격자는 이를 악용하여 내부 네트워크 서비스나 클라우드 메타데이터 엔드포인트를 탐색하고 네트워크 토폴로지를 파악할 수 있습니다.
💡 쉬운 설명
서버가 사용자가 입력한 주소로 마음대로 접속할 수 있는 보안 약점이 발견되었습니다. 해커가 이 기능을 이용해 회사 내부 네트워크를 몰래 들여다보거나 정보를 빼낼 수 있습니다.
🇺🇸 원문 (English)
HAPI FHIR is a complete implementation of the HL7 FHIR standard for healthcare interoperability in Java. Prior to version 6.9.4, the /loadIG HTTP endpoint in the FHIR Validator HTTP service accepts a user-supplied URL via JSON body and makes server-side HTTP requests to it without any hostname, scheme, or domain validation. An unauthenticated attacker with network access to the validator can probe internal network services, cloud metadata endpoints, and map network topology through error-based information leakage. With explore=true (the default for this code path), each request triggers multiple outbound HTTP calls, amplifying reconnaissance capability. This issue has been patched in version 6.9.4.
📍 영향받는 시스템
HAPI FHIR version 6.9.4 미만
⚔️ 공격 벡터
인증되지 않은 공격자가 JSON 본문에 악의적인 URL을 포함하여 /loadIG 엔드포인트로 HTTP 요청을 전송
🛡️ 대응 방법
HAPI FHIR를 최신 보안 패치가 적용된 버전 6.9.4 이상으로 업데이트
🔧 검증 코드
출력된 HAPI FHIR 버전이 6.9.4 미만인지 확인하십시오.
grep -r "hapi-fhir-" /path/to/your/project/pom.xml | grep -E 'version' || echo 'Check your dependency management'