Pathling — это набор инструментов, которые упрощают использование FHIR и клинической терминологии при анализе медицинских данных. До версии 2.0.0 Pathling Server типизированная поверхность CRUD/search/batch FHIR Pathling позволяла аутентифицированному вызывающему абоненту с только грубыми правами на операции действовать с выбранными злоумышленником семействами ресурсов, поскольку эти точки входа не обеспечивают последовательно документированные права `чтения` и `записи` для каждого ресурса. Документированная модель авторизации требует, чтобы полномочия операции (например, pathling:search) были объединены с соответствующими полномочиями чтения или записи для каждого ресурса (например, pathling:read:Patient).
Документировано, что удаление и пакетное копирование требуют полномочий на запись для всех типов ресурсов, на которые ссылаются. Однако типизированный поиск, обновление и связанные обработчики помечаются только с помощью `@OperationAccess(...)` и действуют на тип ресурса, выбранный поставщиком, без проверки соответствующих полномочий для каждого ресурса. Это исправлено в Pathling Server 2.0.0.
Показать оригинальное описание (EN)
Pathling is a set of tools that make it easier to use FHIR and clinical terminology within health data analytics. Prior to version 2.0.0 of Pathling Server, Pathling's typed CRUD/search/batch FHIR surface allows an authenticated caller with only coarse operation authorities to act on attacker-chosen resource families because those entrypoints do not consistently enforce the documented per-resource `read` and `write` authorities. The documented authorization model requires an operation authority (e.g. `pathling:search`) to be paired with the matching per-resource `read` or `write` authority (e.g. `pathling:read:Patient`). Delete and batch are documented to require write authority for all referenced resource types. However, typed search, update, and related handlers are annotated only with `@OperationAccess(...)` and act on the provider-selected resource type without checking the corresponding per-resource authority. This is fixed in Pathling Server 2.0.0.
Характеристики атаки
Последствия
Строка CVSS v4.0