SmileCDR HAPI FHIR: Mandantenübergreifende Partition-Überschreibung über Transaction-Bundle

Zusammenfassung

HAPI FHIR, die Java-Bibliothek hinter Smile CDR, erlaubt es, dass ein Eintrag im Transaction- oder Batch-Bundle die vom vertrauenswürdigen Gateway gesetzte Mandantenpartition ersetzt. Die Prüfung der Berechtigung für Storage-Partitionen wird standardmässig nicht erzwungen. Ein Angreifer mit gültigem Zugriff auf einen Mandanten kann so Ressourcen einer fremden Partition lesen und dort neue Ressourcen anlegen. Der Forscher hat nur Lesezugriffe und Neuanlagen demonstriert; das Ändern oder Löschen bestehender fremder Ressourcen wurde nicht getestet.

Betroffen

• HAPI FHIR, alle Versionen gemäss CVE-Eintrag (betroffen 0 bis < *; Standard unbekannt)
• Getestet auf upstream HAPI FHIR 8.10.0 (Commit 96ac50f89455); derselbe Codepfad wurde in 8.8.2, 8.10.1 und 8.12.1 gefunden
• Die Partition-Erweiterung erschien erstmals in 8.2.0
• Smile CDR 2026.05.R01 basiert auf HAPI FHIR 8.10.0
• Relevant sind Mehrmandanten-Umgebungen mit aktivierter Partitionierung

Behoben in

Unbekannt. Gemäss CISA und der oss-security-Meldung war zum Zeitpunkt der Veröffentlichung kein Fix verfügbar. Smile hat noch keine korrigierte Version veröffentlicht.

Umgehung

Unbekannt. Es wurde kein vom Hersteller bestätigter Workaround veröffentlicht.

• Prüfen, ob die Durchsetzung der Berechtigung für Storage-Partitionen in Ihrer Umgebung aktiviert ist (der Hersteller hat die Einstellung nicht genannt; bei Smile danach fragen)

Ausnutzung

• Zum Zeitpunkt der Veröffentlichung nicht als ausgenutzt bekannt
• Der Forscher hat eine detaillierte öffentliche Beschreibung veröffentlicht
• VulDB meldet, dass kein Exploit verfügbar ist; dies wurde nicht unabhängig bestätigt

Unsere Empfehlung

• Prüfen, ob Ihre Produkte HAPI FHIR oder Smile CDR einbetten und im Mehrmandantenbetrieb laufen
• Beim Hersteller eine korrigierte Version, die Konfigurationseinstellung für die Berechtigung und einen Patch-Termin erfragen
• Partitionszugriff auf Benutzer beschränken, die ihn benötigen, und diese Konten überprüfen
• Netzwerkzugriff auf den FHIR-Endpunkt einschränken
• Anfragen protokollieren und überprüfen, die mehrere Partitionen betreffen
• Hinweis: CVSS 4.0 Score 8.6 (NVD-Eintrag); CISA CVSS 3.1 Score 8.1

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• CVE Record CVE-2026-113874 www.cve.org
• Researcher write-up (Abhinav Agarwal) abhinavagarwal07.github.io
• CISA CSAF VA-26-294-01 raw.githubusercontent.com
• oss-security disclosure seclists.org
• HIPAA Journal: HAPI FHIR vulnerabilities Smile CDR www.hipaajournal.com
• HOL Guard CVE-2026-113874 hol.org
• VulDB 425355 vuldb.com
• Strix CVE-2026-113874 www.strix.ai

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 07:15.