🇰🇷 한글 설명
DHIS2의 SqlView API 엔드포인트 내 filter 파라미터에서 SQL 인젝션 취약점이 발견되었습니다. 인증된 사용자가 PostgreSQL 표현식을 악용하여 임의의 SQL 쿼리를 주입할 수 있으며, 오류 메시지에 출력되는 내용을 통해 데이터베이스의 임의 콘텐츠를 추출할 수 있습니다.
💡 쉬운 설명
로그인 권한이 있는 사용자가 시스템의 데이터 필터 기능을 악용하여 데이터베이스에 몰래 명령을 내릴 수 있는 보안 약점입니다. 이를 통해 공격자는 데이터베이스에 저장된 중요한 정보를 몰래 빼낼 수 있습니다.
🇺🇸 원문 (English)
DHIS2 is a flexible information system for data capture, management, validation, analytics and visualization. A SQL injection vulnerability was identified in the SqlView API endpoint of the DHIS2 application in the `filter` parameter used by the
`/api/sqlViews/{viewId}/data.json` endpoint. An authenticated user with access to a SqlView can inject arbitrary SQL queries inside the `filter` parameter by abusing an expression executed by PostgreSQL and its output is reflected inside the application error message. This behavior enables attackers to extract arbitrary database content using error-based SQL injection.
Affected versions include: 2.37, 2.38, 2.39, 2.40.x before 2.40.11.1/2.40.12, 2.41.x before 2.41.8.2, 2.42.x before 2.42.5.1, 2.43.0 before 2.43.0.1, 2.44 development branch before PR #24162
Patched versions include: 2.37-EOS (2026-06-09), 2.38-EOS (2026-06-09), 2.39-EOS (2026-06-09), 2.40.11.1, 2.40.12, 2.41.8.2, 2.42.5.1, 2.43.0.1, 2.44 development branch after PR #24162
📍 영향받는 시스템
DHIS2 2.37, 2.38, 2.39, 2.40.x (< 2.40.11.1/2.40.12), 2.41.x (< 2.41.8.2), 2.42.x (< 2.42.5.1), 2.43.0 (< 2.43.0.1), 2.44 (PR #24162 이전)
⚔️ 공격 벡터
인증된 사용자가 /api/sqlViews/{viewId}/data.json 엔드포인트의 filter 파라미터에 악의적인 SQL 구문을 주입하여 오류 기반으로 데이터를 추출함
🛡️ 대응 방법
DHIS2를 패치된 버전(2.37-EOS, 2.38-EOS, 2.39-EOS, 2.40.11.1, 2.40.12, 2.41.8.2, 2.42.5.1, 2.43.0.1 또는 PR #24162 이후 버전)으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 정보가 취약한 버전 범위에 포함되는지 확인하십시오.
curl -s http://<target_ip>/api/system/info | grep -E 'version'