JVNDB-2026-015409

OpenMRSにおけるパストラバーサルの脆弱性

OpenMRS Coreはオープンソースの電子医療記録システムプラットフォームです。バージョン2.7.8以前および2.8.0から2.8.5の間では、`/openmrs/moduleResources/{moduleid}`エンドポイントがパストラバーサル攻撃に対して脆弱でした。ModuleResourcesServletはユーザー制御の入力からファイルシステムパスを構築する際にパス境界の検証を行っていません。getFile()メソッドはユーザーから提供されたパスをnormalize()を呼び出すことなく、また結果が許可されたモジュールリソースディレクトリ内にとどまっているかを確認することなく絶対ファイルシステムパスに連結していました。このエンドポイントはログインページのレンダリングに必要な静的リソースを提供するため、認証フィルターによって保護されておらず、認証されていない状態で悪用可能でした。攻撃者はディレクトリを横断してサーバの任意ファイル（/etc/passwdやデータベース認証情報を含むアプリケーション構成ファイルなど）を読み取ることができます。成功した攻撃には、対象のデプロイがApache Tomcatの8.5.31より前のバージョンで稼働している必要があり、"..;"というパスパラメータバイパスがコンテナによって軽減されていません。Tomcat 8.5.31以降および9.0.10以降のデプロイはコンテナレベルで保護されていますが、根本的なコード上の欠陥は残っています。この問題は2.7.8以降（2.7.x系列内）および2.8.6以降のバージョンで修正されています。

OpenMRS

• OpenMRS 2.7.8 およびそれ以前
• OpenMRS 2.8.0 から 2.8.5

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う全ての情報が外部に漏れる可能性があります。
また、当該ソフトウェアが扱う情報について、書き換えは発生しません。
さらに、当該ソフトウェアは停止しません。
そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : Path Traversal in OpenMRS ModuleResourcesServlet Leading to Arbitrary File Read  Advisory  openmrs/openmrs-core  GitHub

1. パス・トラバーサル(CWE-22) [その他]

1. CVE-2026-40075

1. National Vulnerability Database (NVD) : CVE-2026-40075

• [2026年05月14日]
    掲載