Zurück zur Liste

HAPI FHIR: ReDoS via FHIRPath matches()/replaceMatches() in FHIR Validator HTTP Endpoint — GHSA-3653-68V6-RQ57

GitHub · GitHub · GHSA-3653-68V6-RQ57

ID
GHSA-3653-68V6-RQ57
Datum
Quelle
GitHub
Vendor
GitHub
Risiko
hoch
CVSS
7.5
EPSS
0

Zusammenfassung

## Summary All implementations of FHIRPathEngine accept arbitrary FHIRPath expressions and evaluate them without input validation. The FHIRPath functions `matches()`, `matchesFull()`, and `replaceMatches()` pass user-controlled regular expressions directly to Java's `Pattern.compile()` and `String.replaceAll()` without complexity checks or timeouts. An attacker can send a resource containing an evil regex pattern…

Zeitlicher Verlauf

Von der Quelle veröffentlicht
2026-05-18

Risikokontext

  • Gemeldeter Schweregrad oder Risikowert: hoch.
  • Gemeldeter CVSS-Wert: 7.5 von 10.
  • Gemeldeter EPSS-Wert: 0.
  • Prüfe die Exponierung für das betroffene Produkt oder die Produktfamilie: maven: ca.uhn.hapi.fhir:org.hl7.fhir.dstu2 | maven: ca.uhn.hapi.fhir:org.hl7.fhir.dstu2016may | maven: ca.uhn.hapi.fhir:org.hl7.fhir.dstu3 | maven: ca.uhn.hapi.fhir:org.hl7.fhir.r4 | maven: ca.uhn.hapi.fhir:org.hl7.fhir.r4b | maven: ca.uhn.hapi.fhir:org.hl7.fhir.r5 | maven: ca.uhn.hapi.fhir:org.hl7.fhir.validation | maven: ca.uhn.hapi.fhir:org.hl7.fhir.validation.cli.

Produkt

maven: ca.uhn.hapi.fhir:org.hl7.fhir.dstu2 | maven: ca.uhn.hapi.fhir:org.hl7.fhir.dstu2016may | maven: ca.uhn.hapi.fhir:org.hl7.fhir.dstu3 | maven: ca.uhn.hapi.fhir:org.hl7.fhir.r4 | maven: ca.uhn.hapi.fhir:org.hl7.fhir.r4b | maven: ca.uhn.hapi.fhir:org.hl7.fhir.r5 | maven: ca.uhn.hapi.fhir:org.hl7.fhir.validation | maven: ca.uhn.hapi.fhir:org.hl7.fhir.validation.cli

Was tun?

Allgemeine, vorsichtige Schritte (bitte prüfe die offizielle Quelle für Details):

  • Priorisiere sofort Patches oder Mitigations (hohes akutes Risiko).
  • Identifiziere betroffene Produktversionen und prüfe, ob du betroffen bist.
  • Spiele Hersteller-Updates/Patches ein oder setze empfohlene Mitigations um.
  • Lies das offizielle Advisory für betroffene Versionen und konkrete Schritte.

Offizielles Advisory

Nachweise und Herkunft

Kanonische Advisory-ID
GHSA-3653-68V6-RQ57
Quelle
GitHub
Vendor
GitHub
Von der Quelle veröffentlicht
2026-05-18
Letzte Quellenaktivität
2026-05-18
Weitere Kennungen
CVE-2026-45367
Kuratiert von
hlukh.ch

Verwandte Hinweise und Zusammenhänge

Diese Hinweise sind anhand gemeinsamer CVE-, Produkt-, Hersteller-, Quellen- oder Zeitsignale verknüpft.

GitHub GitHub 2026-W21