Podatności OpenEMR

OpenEMR w wersji przed 8.3.0 zawiera podatność polegającą na złamaniu kontroli dostępu w pliku portal/portal_payment.php. Użytkownicy z niskimi uprawnieniami mogą obejść kontrole ACL rozliczeń poprzez manipulację identyfikatorami pacjentów (pid i form_pid), co pozwala na przeglądanie stron płatności i rejestrowanie fałszywych potwierdzeń płatności dla dowolnych pacjentów.

OpenEMR w wersji przed 8.3.0 zawiera podatność polegającą na obejściu autoryzacji, która pozwala uwierzytelnionym klinicystom bez uprawnień do danych o wysokiej wrażliwości na odczyt i modyfikację formularzy powiązanych z wizytami poprzez load_form.php. Atakujący mogą uzyskać dostęp do zastrzeżonych treści (np. notatek klinicznych) i tokenu CSRF, a następnie modyfikować rekordy kliniczne przez save.php.

OpenEMR w wersji przed 8.3.0 zawiera podatność polegającą na braku autoryzacji w klasycznym kontrolerze dokumentów, co pozwala użytkownikom z niskimi uprawnieniami na zmianę kategorii dokumentów innych pacjentów. Atakujący mogą przenieść dokument do kategorii patients|demo, a następnie pobrać go z pustym patient_id, co umożliwia eksfiltrację danych PHI i manipulację kartotekami.

OpenEMR w wersjach przed 8.3.0 zawiera podatność na obejście autoryzacji w API onsitedocuments portalu pacjenta, która pozwala uwierzytelnionym pacjentom czytać dokumenty innych pacjentów poprzez nadpisanie kryteriów zapytania. Atakujący mogą wysłać puste parametry pid_Equals i denialReason_IsNotLike, aby usunąć ograniczenia pacjenta i zablokowane filtry, ujawniając treści zgód, podpisy, ścieżki plików i dane szablonów.

OpenEMR w wersji przed 8.4.0 zawiera podatność polegającą na braku autoryzacji w API dokumentów portalowych, co pozwala każdemu uwierzytelnionemu użytkownikowi na dostęp do dokumentów innych pacjentów. Atakujący mogą pominąć parametr patientId i podać dowolne identyfikatory rekordów, aby wyświetlić, odczytać i nadpisać dokumenty portalowe, podpisy i dane szablonów innych pacjentów.

OpenEMR w wersjach przed 8.4.0 zawiera obejście autoryzacji pozwalające użytkownikom SMART standalone-launch o niskich uprawnieniach na powiązanie dowolnych UUID pacjentów z kontekstem tokenu OAuth. Atakujący posiadający jedynie ACL patients|demo może wybrać ofiarę podczas autoryzacji i czytać jej notatki kliniczne oraz dokumenty poprzez punkty końcowe FHIR DocumentReference i Binary.

OpenEMR w wersjach przed 8.4.0 zawiera podatność na nieprawidłową autoryzację w płatnościach portalu pacjenta Rainforest, która ufa wartościom patientId, encounter i amount dostarczonym przez przeglądarkę zamiast wyprowadzać je z sesji portalu. Uwierzytelnieni pacjenci portalu mogą manipulować JSON wysyłanym do portal_payment.rainforest.php, aby webhook payin.authorized zapisywał sfałszowane kredyty ar_activity na wizytach innych pacjentów przekraczające faktycznie zapłaconą kwotę.

OpenEMR w wersji przed 8.4.0 zawiera podatność polegającą na obejściu autoryzacji, która pozwala użytkownikom z niskimi uprawnieniami na odczyt danych FHIR QuestionnaireResponse innych pacjentów poprzez wysłanie nagłówka APICSRFTOKEN. Atakujący mogą użyć wartości api_csrf_token_js ujawnionej w sesji, aby pominąć kontrole zakresu FHIR i wywołać GET /fhir/QuestionnaireResponse, eksfiltrując PHI z odpowiedzi kwestionariuszy w całej instancji.

OpenEMR w wersjach przed 8.3.0 zawiera podatność na brak autoryzacji w akcji addRecall w /interface/main/messages/save.php, która pozwala uwierzytelnionym użytkownikom o niskich uprawnieniach na modyfikowanie danych przypomnień dowolnych pacjentów. Atakujący mogą przesłać spreparowany new_pid z polami przypomnienia, kontaktu, dostawcy, placówki i preferencji powiadomień, aby nadpisać rekordy pacjentów, do których nie mają dostępu.

OpenEMR w wersji przed 8.3.0 zawiera podatność polegającą na braku autoryzacji, która pozwala użytkownikom z niskimi uprawnieniami na usuwanie dowolnych rekordów przypomnień pacjentów poprzez akcję delete_Recall. Atakujący mogą wysłać żądania POST do /interface/main/messages/save.php z docelowym pid i r_ID, aby usunąć dane przypomnień bez kontroli ACL ani własności.

OpenEMR w wersjach przed 8.3.0 zawiera podatność typu insecure direct object reference w portal/lib/paylib.php, która zapisuje dostarczony w żądaniu form_pid (lub wartość patient_id_cc w danych Sphere) do onsite_portal_activity bez sprawdzenia go względem pacjenta sesji. Uwierzytelnieni pacjenci portalu mogą wysyłać żądania portal-save, review-save, AuthorizeNet, Stripe lub Sphere, aby wstawiać lub modyfikować sfałszowane rekordy audytu płatności w rozliczeniach innych pacjentów.

OpenEMR w wersji przed 8.3.0 zawiera podatność polegającą na złamaniu autoryzacji na poziomie obiektu w API aktualizacji notatek SOAP, które nie weryfikuje, czy podany identyfikator notatki SOAP (sid) należy do podanego pacjenta i wizyty. Uwierzytelnieni użytkownicy z uprawnieniami do wizyt/notatek mogą wysłać żądania PUT do /api/patient/:pid/encounter/:eid/soap_note/:sid z sid innego pacjenta, aby nadpisać notatkę kliniczną i przypisać ją do innego pid.

OpenEMR w wersjach przed 8.3.0 zawiera podatność braku autoryzacji w pliku interface/billing/sl_eob_patient_note.php, która pozwala każdemu uwierzytelnionemu użytkownikowi odczytywać i modyfikować notatki rozliczeniowe pacjentów. Atakujący z kontem o niskich uprawnieniach może enumerować parametr patient_id i wysyłać żądania POST z osadzonym tokenem CSRF, aby przeglądać lub manipulować poufnymi danymi rozliczeniowymi.

OpenEMR w wersjach przed 8.3.0 zawiera podatność braku autoryzacji w pliku interface/billing/sl_eob_invoice.php, która pozwala każdemu uwierzytelnionemu użytkownikowi odczytywać i modyfikować dane rozliczeniowe dowolnej wizyty. Atakujący może iterować parametr id, aby odczytać nazwiska pacjentów i notatki rozliczeniowe oraz księgować płatności, korekty, usunięcia lub notatki na koncie dowolnego pacjenta.

OpenEMR w wersjach przed 8.3.0 zawiera podatność SQL injection w Standard REST API w wyszukiwaniu ubezpieczeń i pracodawców pacjenta, gdzie nazwy parametrów query-string są konkatenowane do SQL jako identyfikatory kolumn bez escapowania. Uwierzytelnieni klienci, w tym tokeny OAuth2 portalu pacjenta o niskich uprawnieniach, mogą wysyłać spreparowane nazwy parametrów do /api/patient/{puuid}/insurance lub /api/patient/{puuid}/employer, aby wyodrębnić PHI pacjentów, rekordy użytkowników i sekrety klientów API.

OpenEMR w wersjach przed 8.4.0 zawiera podatność local file inclusion w routerze ESign (library/ESign/Router.php), który przekazuje nieoczyszczony parametr module do require_once '<module>/Controller.php', a moduł faksu faxProcessUploads zapisuje pliki o nazwach kontrolowanych przez atakującego do przewidywalnej ścieżki tymczasowej bez sprawdzania rozszerzenia. Uwierzytelnieni atakujący mogą przesłać plik PHP o nazwie Controller.php, a następnie wywołać interface/esign/index.php z parametrem module zawierającym traversal, aby go dołączyć i wykonać dowolny kod.

OpenEMR przed wersją 8.4.0 zawiera lukę obejścia autoryzacji, która pozwala tokenom SMART o zakresie pacjenta odczytywać odpowiedzi kwestionariuszy innych pacjentów, ponieważ FhirQuestionnaireResponseService nie implementuje IPatientCompartmentResourceService. Atakujący posiadający token patient/QuestionnaireResponse.rs może żądać odpowiedzi po uuid lub wylistować nieprzefiltrowany bundle, aby uzyskać odpowiedzi oceny klinicznej innych pacjentów.

OpenEMR w wersjach przed 8.3.0 zawiera podatność przechowywanego cross-site scripting, która pozwala uwierzytelnionym użytkownikom z dostępem do CAMOS wstrzykiwać HTML poprzez zapis złośliwej treści CAMOS przez ajax_save.php. Atakujący mogą zapisać ładunek skryptu, który wykonuje się bez kodowania, gdy wpis jest drukowany przez gałąź non-print_html w rx_print.php, wykonując akcje i odczytując dane jako ofiara.

OpenEMR przed wersją 8.3.0 zawiera lukę niezabezpieczonego odwołania do obiektu (IDOR) w OnsiteDocumentController::Query(), która pozwala uwierzytelnionym pacjentom portalu obejść zabezpieczenie autoryzacji oparte na małych literach pid, podając parametr Pid z wielką literą. Atakujący może wywołać endpoint api/onsitedocuments z Pid ustawionym na identyfikator innego pacjenta, aby nadpisać kryteria przypięte do sesji i odczytać dokumenty onsite innych pacjentów zawierające PHI.

OpenEMR przed wersją 8.3.0 zawiera lukę niezabezpieczonego odwołania do obiektu (IDOR) w PortalPatientController::Read(), która pozwala uwierzytelnionym pacjentom odczytywać oczekujące wnioski o zmianę danych demograficznych innych pacjentów. Atakujący może podać identyfikator innego pacjenta w parametrze zapytania patientId, aby uzyskać PHI, w tym imiona, adresy, numery SSN i informacje ubezpieczeniowe.

OpenEMR w wersjach przed 8.3.0 zawiera podatność insecure direct object reference w wielu endpointach widoku i zapisu formularzy wizyt, które nie sprawdzają własności pacjenta/wizyty. Uwierzytelnieni użytkownicy kliniczni mogą enumerować sekwencyjne wartości id formularzy w żądaniach takich jak soap/view.php i save.php, aby odczytywać i nadpisywać rekordy kliniczne innych pacjentów.

OpenEMR przed wersją 8.4.0 zawiera lukę obejścia autoryzacji w trasie FHIR GET /fhir/Person/:uuid, która pozwala użytkownikom portalu pacjenta odczytywać dane demograficzne dowolnego pracownika poprzez obejście egzekwowania kompartymentu. Atakujący posiadający token SMART pacjenta z uprawnieniem patient/Person.read może pozyskiwać UUID pracowników z referencji Appointment, aby uzyskać imiona, adresy domowe, numery telefonów i prywatne adresy e-mail.

OpenEMR w wersjach przed 8.3.0 zawiera podatności braku autoryzacji i insecure direct object reference w module oe-module-prior-authorizations, które pozwalają uwierzytelnionym użytkownikom o niskich uprawnieniach na dostęp i modyfikację rekordów innych pacjentów. Atakujący mogą wywołać public/reports/list_report.php, aby zobaczyć nazwiska, MRN, dane ubezpieczenia i wcześniejszych autoryzacji wszystkich pacjentów, lub przesłać dowolne wartości id do public/index.php, aby nadpisać rekordy wcześniejszych autoryzacji innych pacjentów.

OpenEMR przed wersją 8.3.0 zawiera lukę niezabezpieczonego odwołania do obiektu (IDOR) w OnsiteDocumentController::Query(), która pozwala uwierzytelnionym pacjentom portalu odczytywać dokumenty innych pacjentów poprzez nadpisanie kryteriów Pid_Equals. Atakujący może podać parametry Pid_Equals, Pid_GreaterThan lub Pid_In w żądaniu do API onsitedocuments, aby uzyskać podpisane formularze zgody, podpisy i PHI dowolnego pacjenta.

OpenEMR w wersji przed 8.3.0 zawiera podatność typu insecure direct object reference w pliku portal/lib/persist.php, która pozwala uwierzytelnionym pacjentom portalu zapisywać ustawienia innych pacjentów. Atakujący może zmodyfikować parametr setting_patient w żądaniu JSON POST na PID innego pacjenta, zmieniając jego ustawienia portalu, takie jak motyw.

OpenEMR przed wersją 8.4.0 zawiera lukę obejścia autoryzacji w implementacji SMART on FHIR, ponieważ funkcja checkUserHasAccessToPatient() w BearerTokenAuthorizationStrategy.php bezwarunkowo zwraca true. Uwierzytelnieni użytkownicy lub złośliwe aplikacje SMART mogą manipulować kontekstem uruchomienia tokenu, aby powiązać żądania z dowolnymi UUID pacjentów, uzyskując nieautoryzowany odczyt i zapis zasobów FHIR innych pacjentów.

OpenEMR przed wersją 8.4.0 zawiera lukę braku autoryzacji w trasach odczytu FHIR Media/:uuid i QuestionnaireResponse, które pomijają kontrole ACL. Tokeny API niebędące tokenami pacjenta, pozbawione ACL OpenEMR, mogą żądać zasobów po uuid, omijając filtrowanie kompartymentu, aby odczytać dokumenty i odpowiedzi kwestionariuszy dowolnego pacjenta.

OpenEMR w wersji przed 8.3.0 zawiera podatność typu insecure direct object reference w OnsitePortalActivityController::Update(), która sprawdza patientId z żądania zamiast właściciela zapisanego rekordu. Uwierzytelnieni pacjenci portalu mogą wysyłać żądania PUT do API onsiteportalactivity z identyfikatorem aktywności innego pacjenta i własnym patientId, ujawniając dane tableArgs i checksum, nadpisując narracje i status oraz przejmując własność rekordu.

OpenEMR w wersji przed 8.3.0 zawiera podatność typu path traversal w funkcjach disposeDocument modułów RCFaxClient i SignalWireClient w module FaxSMS, która pozwala uwierzytelnionym użytkownikom o niskich uprawnieniach czytać i nadpisywać dowolne pliki poprzez niesanityzowany parametr file_path. Atakujący może użyć action=download, aby pobrać pliki w postaci jawnej, takie jak dane uwierzytelniające do bazy w sqlconf.php i klucze, lub action=setup, aby nadpisać pliki zapisywalne przez serwer WWW szyfrogramem.

Aplikacja OpenEMR w wersjach 5.0.0, 5.0.1-dev i wcześniejszych jest podatna na lukę umożliwiającą eskalację uprawnień w pionie. Luka ta pozwala uwierzytelnionym użytkownikom niebędącym administratorami na przeglądanie i modyfikowanie informacji dostępnych tylko dla administratorów.

OpenEMR w wersjach przed 5.0.0 Patch 5 umożliwia nieautoryzowane zdalne kopiowanie bazy danych, ponieważ plik setup.php udostępnia funkcjonalność klonowania istniejącej witryny OpenEMR na dowolny serwer MySQL kontrolowany przez atakującego za pomocą spreparowanego parametru stanu.

OpenEMR w wersji 5.0.0 i wcześniejszych pozwala użytkownikom o niskich uprawnieniach na przesyłanie plików niebezpiecznych typów, co może prowadzić do wykonania dowolnego kodu w kontekście podatnej aplikacji.

OpenEMR w wersji przed 8.3.0 zawiera podatność typu path traversal w metodzie disposeDocument() klasy RingCentral RCFaxClient modułu oe-module-faxsms, która pozwala uwierzytelnionym atakującym odczytywać i zapisywać dowolne pliki poprzez parametr file_path. Atakujący mogą użyć action=download do odczytu danych uwierzytelniających i kodu źródłowego lub action=setup z zawartością base64 do zapisu plików wykonywalnych przez serwer WWW, co umożliwia wykonanie kodu.

OpenEMR w wersji przed 8.3.0 zawiera podatność typu SQL injection w wyszukiwaniu leków w Fee Sheet (DrugSalesService::sellDrug), która interpoluje pole POST prod[N][warehouse] do klauzuli ORDER BY. Użytkownicy z niskimi uprawnieniami mogą przesyłać linie produktów Fee Sheet z podzapytaniami stałymi, aby uruchomić czasowy ślepy oracle i wyodrębnić dane pacjentów oraz hashe bcrypt z users_secure.

OpenEMR w wersji przed 8.3.0 zawiera podatność typu broken access control i path traversal w akcji disposeDocument modułu faksu/SMS poprzez niezwalidowany parametr file_path. Uwierzytelnieni użytkownicy z niskimi uprawnieniami mogą odczytać sqlconf.php w celu odzyskania poświadczeń bazy danych i zapisywać dowolne pliki jako użytkownik serwera WWW, co umożliwia zdalne wykonanie kodu.

OpenEMR od wersji 7.0.1 przed 8.4.0 zawiera błąd w src/Common/Auth/OneTimeAuth.php, który ignoruje flagi enforce_onetime_use i max_access_count, nigdy nie unieważnia zużytych tokenów service_auth i sprawdza login_pin bez ograniczania liczby prób i ścisłego porównania. Atakujący posiadający przechwycony token może go powtórzyć lub brute-force'ować PIN, aby otworzyć sesje portalu pacjenta ujawniające PHI.

OpenEMR przed wersją 8.4.0 ma błąd w kontrolerach C_Document.class.php: akcje zapisu, w tym move_action_process(), nie weryfikują dostępu wywołującego do dokumentu źródłowego, bieżącego pacjenta i kategorii ani do docelowego pacjenta i kategorii przed wykonaniem mutacji przez Document::change_patient(). Nisko uprzywilejowany uwierzytelniony użytkownik może przypisać dowolny dokument do pacjenta lub kategorii, do której ma dostęp, a następnie go odczytać.

OpenEMR do wersji 8.2.0 zawiera lukę zdalnego wykonania kodu w komponencie drzewa kategorii dokumentów (library/classes/Tree.class.php), która pozwala uwierzytelnionym administratorom na wykonanie dowolnych poleceń systemu operacyjnego poprzez wstrzyknięcie ładunków PHP do tabeli kategorii bazy danych. Atakujący mogą połączyć dowolne wykonanie SQL, aby zmienić typ kolumny id na VARCHAR i wstawić złośliwy ładunek PHP, który jest następnie wykonywany przez niesanitizowane wywołanie eval() przy każdym uruchomieniu CategoryTree, w tym na stronach nieuwierzytelnionych i o niskich uprawnieniach, co skutkuje wykonaniem poleceń jako użytkownik serwera WWW.

OpenEMR w wersjach przed 8.4.0 zawiera podatność na nieprawidłową autoryzację w trasie POST /fhir/DocumentReference/$docref, która pozwala użytkownikom o niskich uprawnieniach na generowanie CCDA dowolnego pacjenta. Atakujący posiadający jedynie uprawnienia do danych demograficznych i dokumentów może podać parametr ofiary, a następnie pobrać pełny CCDA z dokumentów pacjenta, aby wyeksfiltrować dane kliniczne.

OpenEMR w wersji przed 8.4.0 zawiera podatność polegającą na nieprawidłowej autoryzacji, ponieważ trasy API REST recept sprawdzają ACL patients.med zamiast patients.rx i nie wymagają konkretnego bitu uprawnień, przez co dostęp tylko do odczytu historii medycznej przechodzi weryfikację. Uwierzytelnieni pracownicy mogą użyć tokenu APICSRFTOKEN do wyliczenia UUID recept, tworzenia fałszywych recept dla dowolnych pacjentów i dezaktywacji istniejących recept w całej instancji.

OpenEMR w wersjach przed 8.4.0 zawiera podatność na dowolne lokalne odczytanie plików w pobieraniu dokumentów REST, gdzie kontroler przekazuje przechowywane bajty przesłanego dokumentu do Symfony BinaryFileResponse jako ścieżkę systemu plików zamiast zwracać je jako zawartość. Uwierzytelnieni użytkownicy z dostępem do przesyłania i pobierania dokumentów mogą przesłać dokument zawierający bezwzględną ścieżkę, taką jak lokalizacja sqlconf.php, a następnie pobrać go, aby odczytać pliki serwera i odzyskać poświadczenia bazy danych.

OpenEMR w wersji przed 8.3.0 zawiera podatność typu insecure direct object reference w pliku portal/lib/persist.php, która pozwala uwierzytelnionym pacjentom portalu na modyfikację ustawień innych pacjentów poprzez podanie dowolnej wartości setting_patient. Atakujący mogą wstawiać lub nadpisywać wiersze patient_settings ofiar, aby wyłączyć powiadomienia, zmienić flagi zgód lub preferencje portalu.

OpenEMR w wersjach przed 8.3.0 zawiera podatność na złamanie autoryzacji na poziomie obiektu w portal/report/portal_custom_report.php, która pozwala uwierzytelnionym pacjentom portalu czytać wpisy listy problemów innych pacjentów. Atakujący mogą wyliczać sekwencyjne identyfikatory w nazwach parametrów issue_, aby pobierać tytuły problemów, notatki kliniczne, kody diagnoz ICD i rekordy antykoncepcyjne IPPF innych pacjentów.

OpenEMR w wersjach przed 8.4.0 zawiera podatność server-side request forgery, która pozwala nieuwierzytelnionym atakującym zmusić serwer do wysyłania żądań HTTP poprzez rejestrację klienta OAuth2 z niezwalidowanym jwks_uri. Atakujący mogą wywołać pobranie przez endpoint introspekcji tokenów z niepodpisanym client_assertion, aby sondować usługi wewnętrzne i dotrzeć do endpointów metadanych chmury.

OpenEMR w wersjach przed 8.3.0 zawiera podatność braku autoryzacji w library/ajax/upload.php, która pozwala każdemu uwierzytelnionemu użytkownikowi odczytywać i nadpisywać dane dokumentów poprzez podanie dowolnego doc_id. Użytkownicy o niskich uprawnieniach mogą enumerować wartości doc_id za pomocą akcji fetch i save, aby ujawnić informacje zdrowotne pacjentów i manipulować dokumentacją medyczną wszystkich pacjentów.

OpenEMR w wersjach przed 8.3.0 zawiera podatność path traversal w interface/billing/sl_eob_process.php, która pozwala uwierzytelnionym użytkownikom zapisywać i odczytywać pliki poprzez podanie nieoczyszczonych wartości eraname. Atakujący bez uprawnień rozliczeniowych mogą wstrzykiwać sekwencje ../, aby tworzyć pliki raportów ERA .html w dowolnym miejscu zapisywalnym przez użytkownika webowego i parsować dowolne pliki .edi odzwierciedlane w raporcie.

OpenEMR przed wersją 8.3.0 zawiera lukę przechowywanego skryptowania krzyżowego (XSS) w interface/forms/eye_mag/report.php, która pozwala uwierzytelnionym użytkownikom wstrzykiwać skrypty poprzez dodawanie nieescapowanych notatek do dokumentów. Atakujący z prawem zapisu notatek do dokumentów może zapisać złośliwy JavaScript w notatce dokumentu siatkówki, który wykonuje się, gdy klinicyści generują raport badania oczu, ujawniając ciasteczka sesji.

OpenEMR w wersji przed 8.3.0 zawiera podatność typu stored cross-site scripting w arkuszach stylów podglądu CCDA/CCD, gdzie cda.xsl kopiuje atrybuty obsługi zdarzeń omijające denylistę znaków, a ccd.xsl kopiuje atrybuty komórek tabeli bez sanityzacji do HTML podglądu. Uwierzytelnieni użytkownicy mogą przesłać spreparowany dokument CCDA/CCD z handlerami onmouseover, onclick lub onfocus, aby wykonać skrypt w sesji klinicysty podczas podglądu.

OpenEMR w wersji przed 8.4.0 zawiera podatność typu mass assignment w API zapytań OnsiteDocument portalu pacjenta, która pozwala parametrom żądania ustawiać bitowe filtry kryteriów, których wartości są wstawiane bez cudzysłowów do klauzuli WHERE SQL. Uwierzytelnieni użytkownicy portalu pacjenta mogą wstrzyknąć SQL poprzez parametry takie jak Id_BitwiseAnd, aby odczytać dowolną tabelę bazy danych, w tym rekordy innych pacjentów i hashe haseł personelu.

W OpenEMR przed wersją 8.2.0 moduł faksu (SignalWireClient) odszyfrowuje dokument pacjenta i zapisuje go w postaci jawnej pod sites/{siteId}/fax, chroniąc go tylko przewidywalną nazwą uniqid() i nie usuwając pliku. Nieuwierzytelniony atakujący może odczytać trwałe dokumenty pacjentów, nawet przy włączonym szyfrowaniu dysku.