Retour à la liste

HAPI FHIR: Incomplete fix for CVE-2026-45367: DSTU2 FHIRPathEngine.matches() missing RegexTimeout protection allows ReDoS — CVE-2026-55470

GitHub · GitHub · CVE-2026-55470

ID
CVE-2026-55470
Date
Activity
Source
GitHub
Fournisseur
GitHub
Risque
high
CVSS
7.5

Résumé

## Summary The fix for CVE-2026-45367 added `RegexTimeout` protection to the `matches()` function in DSTU2016MAY, DSTU3, R4, R4B, and R5, but the DSTU2 module was incompletely patched. In `org.hl7.fhir.dstu2`, `replaceMatches()` was updated while `matches()` at line 2462 still calls the raw `String.matches(sw)` without any timeout, allowing an unauthenticated attacker to trigger catastrophic regex backtracking and…

Produit

maven: ca.uhn.hapi.fhir:org.hl7.fhir.dstu2 | maven: ca.uhn.hapi.fhir:org.hl7.fhir.convertors | maven: ca.uhn.hapi.fhir:org.hl7.fhir.validation | maven: ca.uhn.hapi.fhir:org.hl7.fhir.validation.cli

Que faire

Mesures générales et prudentes (vérifiez les détails dans la source officielle) :

  • Priorisez immédiatement les correctifs ou les mesures d’atténuation (risque actif).
  • Identifiez les versions affectées dans votre inventaire et vérifiez si vous êtes concerné.
  • Appliquez les correctifs/mises à jour du fournisseur ou les atténuations recommandées.
  • Consultez l’avis officiel pour les versions affectées et les étapes de remédiation.

Avis officiel

Avis associés

GitHub GitHub 2026-W25