HAPI FHIR: Denial of Service durch stark komprimierte Anfragekörper

Zusammenfassung

HAPI FHIR, die Open-Source-Java-Implementierung von FHIR, die von Smile CDR und weiteren Produkten verwendet wird, begrenzt die Expansion von gzip-komprimierten Anfragekörpern nicht. Ein nicht authentifizierter Angreifer aus dem Netzwerk kann kleine komprimierte Nutzdaten senden, die sich auf sehr grosse Grössen ausdehnen und dadurch den Heap-Speicher des Servers erschöpfen oder Dienste zum Absturz bringen können. Die Expansion erfolgt vor der Autorisierungsprüfung, daher sind keine Zugangsdaten nötig. Die Auswirkung beschränkt sich gemäss den Bewertungen auf die Verfügbarkeit; Vertraulichkeit und Integrität sind nicht betroffen.

Betroffen

• SmileCDR HAPI FHIR, alle Versionen gemäss CNA-Eintrag (vers:all/*)
• Vom Forscher auf HAPI FHIR 8.10.0 getestet; die Quellenprüfung ergab das Problem auch in v8.8.2, v8.10.1 und v8.12.1
• Smile CDR 2026.05.R01 basiert auf HAPI FHIR 8.10.0
• Standardkonfiguration: Dekomprimierung eingehender gzip-Daten ist aktiviert

Behoben in

Unbekannt.

• In den geprüften Quellen ist keine korrigierte Version veröffentlicht; CISA listet keine Korrektur.
• Der Hersteller plant laut Berichten eine Korrektur im November-Release; dies stammt aus zweiter Hand und ist nicht bestätigt.

Umgehung

• Keine vom Hersteller dokumentierte Workaround-Massnahme gefunden.
• Prüfen, ob die Dekomprimierung eingehender Daten in Ihrer Umgebung deaktiviert oder begrenzt werden kann; die genaue Einstellung vor Änderungen an Produktivsystemen mit dem Hersteller bestätigen.
• Nach Möglichkeit die Grösse von Anfragekörpern und die dekomprimierte Grösse an einem Reverse Proxy oder WAF begrenzen.

Ausnutzung

• In den geprüften Quellen nicht als aktiv ausgenutzt markiert.
• Öffentlicher Proof of Concept: unbekannt.
• Der Forscher hat das Problem in einer Testumgebung reproduziert.

Unsere Empfehlung

• Prüfen, ob in Ihrer Umgebung ein auf HAPI FHIR basierendes Produkt oder ein eigener FHIR-Dienst im Einsatz ist, einschliesslich Produkten, die HAPI FHIR einbetten.
• FHIR-Endpunkte nicht aus dem Internet erreichbar machen; Zugriff auf bekannte Clients beschränken.
• Grössenbeschränkungen für Anfragen und dekomprimierte Daten an einem Reverse Proxy oder WAF anwenden.
• Ungewöhnlich grosse oder stark komprimierte Anfragen sowie Dienstneustarts oder Speicherengpässe überwachen.
• Die Korrektur des Herstellers so bald wie möglich installieren und die Version mit dem Hersteller oder dem CISA-Advisory VA-26-294-01 verifizieren.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• CVE record CVE-2026-113873 www.cve.org
• CISA CSAF advisory VA-26-294-01 raw.githubusercontent.com
• Researcher write-up: Four Authorization and Availability Findings in HAPI FHIR abhinavagarwal07.github.io
• oss-security researcher post openwall.com
• HIPAA Journal: HAPI FHIR vulnerabilities and Smile CDR www.hipaajournal.com
• HOL Guard CVE details hol.org
• Strix CVE details www.strix.ai
• VulDB entry 425356 vuldb.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 00:42.