🇰🇷 한글 설명
HAPI FHIR 6.9.11 이전 버전에서 Scanner.java가 공격자가 제어하는 IG 제목, 프로필 제목 및 소스 참조를 이스케이프 처리 없이 scan.html에 결합하는 취약점이 발견되었습니다. 이로 인해 공격자가 제공한 IG/프로필을 스캔한 후 생성된 HTML 보고서를 열면 저장형 교차 사이트 스크립팅(XSS)이 발생하여 공격자의 자바스크립트가 실행될 수 있습니다.
💡 쉬운 설명
의료 데이터 표준을 다루는 프로그램에서 보안 검사 보고서를 만들 때, 악성 코드가 포함된 제목을 제대로 걸러내지 못하는 문제입니다. 사용자가 생성된 보고서를 확인하는 순간, 해커가 심어놓은 악성 스크립트가 사용자의 브라우저에서 실행될 수 있습니다.
🇺🇸 원문 (English)
HAPI FHIR is a complete implementation of the HL7 FHIR standard for healthcare interoperability in Java. Prior to 6.9.11, the hidden scan command concatenates attacker-controlled Implementation Guide titles, profile titles, and source references into scan.html without escaping in Scanner.java. As a result, a user who scans an attacker-supplied IG/profile and then opens or publishes the generated local/CI HTML report can trigger stored cross-site scripting, executing attacker-controlled JavaScript in the report's browser context. This issue is fixed in version 6.9.11.
📍 영향받는 시스템
HAPI FHIR 버전 6.9.11 미만
⚔️ 공격 벡터
악성 제목이 포함된 IG/프로필을 스캔하게 유도한 뒤, 생성된 HTML 보고서를 사용자가 열도록 유도하는 방식
🛡️ 대응 방법
HAPI FHIR를 최신 보안 패치가 적용된 버전인 6.9.11 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 버전 정보가 6.9.11 미만인지 확인하여 취약 여부를 판단합니다.
grep -r "HAPI FHIR" /path/to/your/project | grep -E 'version' || echo 'Version not found'