概要
医療 情報 交換 フレームワーク HAPI FHIR の HTTP クライアント に おいて、リダイレクト 時 に オリジン の 認証 ヘッダー を リダイレクト 先 に も そのまま 送信 して しまう 脆弱性 が 存在 します。CWE-200（情報の不正な公開）に 分類 されます。
この 脆弱性 に より、認証 トークン や API キー など の 機密 ヘッダー が 意図 しない 外部 サーバー に 送信 される 可能性 が あります。医療 データ を 扱う FHIR サーバー 間 の 通信 で 発生 した 場合、患者 データ へ の アクセス 権 が 漏洩 する リスク が あります。
CVSSベクトル
| 項目 | 値 |
|---|---|
| CVSSスコア | 7.5 (High) |
| CWE | CWE-200（情報の不正な公開） |
| 攻撃元区分 | ネットワーク |
| 攻撃条件の複雑さ | 低 |
| 必要な権限 | 不要 |
| ユーザー操作 | 不要 |
影響を受けるソフトウェア
- HAPI FHIR（6.9.0 未満）
修正バージョンと回避策
- 修正バージョン: HAPI FHIR 6.9.0
- 暫定回避策: HTTP クライアント の リダイレクト 自動追従 を 無効化 し、手動 で リダイレクト を 処理 する
関連リンク
データソース: NVD (NIST) AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。