🇰🇷 한글 설명
OpenMRS Core의 ConceptReferenceRangeUtility.evaluateCriteria() 메서드가 샌드박스 없이 데이터베이스에 저장된 기준 문자열을 Apache Velocity 템플릿으로 실행합니다. Manage Concepts 권한을 가진 사용자가 악성 Velocity 표현식을 저장하면, 관련 관찰값 검증 시 자동으로 실행되어 임의 Java 리플렉션과 서비스 계층 접근이 가능해집니다.
💡 쉬운 설명
의료 기록 시스템에서 특정 권한을 가진 사용자가 악성 코드를 숨겨 두면, 다른 사람이 검사 결과를 확인할 때 그 코드가 자동으로 실행됩니다. 이로 인해 환자 정보 유출이나 시스템 장악이 일어날 수 있습니다.
🇺🇸 원문 (English)
OpenMRS is an open source electronic medical record system platform. From 2.7.0 to before 2.7.9 and 2.8.6, the ConceptReferenceRangeUtility.evaluateCriteria() method in OpenMRS Core evaluates database-stored criteria strings as Apache Velocity templates without any sandbox configuration. The VelocityEngine is initialized with only logging properties and noSecureUberspector, leaving the default UberspectImpl in place, which allows unrestricted Java reflection through template expressions. A user with the Manage Concepts privilege can store a malicious Velocity template expression in a concept's reference range criteria field. This payload is then executed automatically whenever a user or API call validates an observation against the affected concept. The Velocity context exposes $patient (the Person / Patient object), $obs (the Obs object), and $fn (the ConceptReferenceRangeUtility instance with access to the full OpenMRS service layer). This vulnerability is fixed in 2.7.9 and 2.8.6.
📍 영향받는 시스템
OpenMRS Core 2.7.0 이상 2.7.9 미만, 2.8.0 이상 2.8.6 미만
⚔️ 공격 벡터
Manage Concepts 권한을 가진 사용자가 개념의 참조 범위 기준 필드에 악성 Velocity 표현식을 저장하면, 검증 시 자동 실행되어 서버에서 임의 코드가 실행됩니다.
🛡️ 대응 방법
OpenMRS Core를 2.7.9 또는 2.8.6 이상으로 업데이트하고, Manage Concepts 권한 부여 대상을 최소화합니다.
🔧 검증 코드
출력된 버전이 2.7.0~2.7.8 또는 2.8.0~2.8.5이면 취약하며, 2.7.9 이상 또는 2.8.6 이상이면 패치가 적용된 것입니다. 출력이 없으면 설치 경로를 확인해야 합니다.
grep -rl 'openmrs-api' /opt/openmrs/WEB-INF/lib 2>/dev/null | head -1 | xargs -I{} unzip -p {} META-INF/MANIFEST.MF 2>/dev/null | grep -i 'Implementation-Version'