CVE-2026-81876 in org.hl7.fhir.core
要約
〜によって VulDB • 2026年09月16日
HAPI FHIRは、Javaによる医療相互運用性のためのHL7 FHIR標準の完全な実装です。バージョン6.9.12以前では、org.hl7.fhir.r5/src/main/java/org/hl7/fhir/r5/elementmodel/SHCParser.javaにあるSHCParserが、ヘッダーにzip: "DEF"を含み、生DEFLATEペイロードが空または切り捨てられた攻撃者制御のSmart Health Card JWTコンテンツを処理中に無限ループに入ることがあります。SHCParser.decodeJWT()はSHCParser.inflate()に至り、ここでInflater.inflate()はゼロを返す可能性がありますが、Inflater.finished()はfalseのまま、Inflater.needsInput()はtrueです。このループにはInflater.needsDictionary()の終了チェックも欠けており、SHCParser.decompress()にも同様の進捗なしパターンが含まれており、ResourceChecker.javaではファイル形式検出中にSHC解析に至る可能性があります。不正な検証リクエストによりJVMワスレッドが無限に占有され、同時実行されるリクエストによってすべての検証ワーカーが枯渇する可能性があります。この問題はバージョン6.9.12で修正されています。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.