Bahmni bahmni-core: SQL-Injection ermöglicht Exfiltration von Patientendaten
Zusammenfassung
Bahmni bahmni-core, die OpenMRS-Kernmodule des klinischen Informationssystems Bahmni, enthält in Version 0.93 eine SQL-Injection-Schwachstelle. Ein Angreifer mit gültigem Benutzerkonto und Netzwerkzugriff kann mittels Boolean-Blind- und Error-based-Techniken sensitive Patientendaten aus der Datenbank auslesen. Da keine Daten direkt zurückgegeben werden, muss der Angreifer diese schrittweise ableiten.
Betroffen
- bahmni-core (Maven: org.bahmni.module.bahmnicore-omod) Version 0.93
- Das GHSA-Advisory führt die betroffenen Versionen als >= 0.93 auf. Ob spätere Zweige betroffen sind, ist unbekannt.
Behoben in
- Version 0.93.1 (gemäss CVE-Eintrag und dem Sicherheitspatch-Release des Herstellers vom 2. Juli 2026)
- Das Advisory nennt für die anderen Zweige die gepatchten Versionen 1.0.1, 1.1.1, 1.2.1, 1.3.1 und 2.0.1.
Umgehung
- Falls die Suchabfrage "High Risk Patients" nicht verwendet wird, die globale Eigenschaft "emrapi.sqlSearch.highRiskPatients" entfernen.
- Zugriff auf vertrauenswürdige IP-Adressen beschränken, falls nur bestimmte Benutzer im Netzwerk das System benötigen.
- Zugriff auf die SQL-Suche auf unbedingt notwendiges Personal beschränken und prüfen.
- System- und Anwendungsprotokolle auf ungewöhnliche Datenzugriffe überwachen.
Ausnutzung
- Eine Ausnutzung in freier Wildbahn ist nicht bekannt.
- Nicht im CISA-KEV-Katalog gelistet.
- Öffentlicher Proof-of-Concept: Eine Quelle meldet keinen; die Angaben sind widersprüchlich, daher ist die Konfidenz gering.
- Das verwandte CVE-2026-15477 verweist auf dasselbe Advisory, und ein OSV-Eintrag meldet einen öffentlichen Exploit. Unklar ist, ob beide CVEs dieselbe Schwachstelle beschreiben.
Unsere Empfehlung
- Prüfen, ob Bahmni- oder OpenMRS-Instanzen bahmni-core 0.93 einsetzen, und auf 0.93.1 oder eine neuere gepatchte Version aktualisieren.
- Gleichzeitig auf CVE-2026-15477 prüfen.
- Bis zum Patch den Zugriff auf die Bahmni/OpenMRS-Endpunkte auf das Praxisnetz beschränken und die Anzahl Konten mit Zugriff reduzieren.
- Berechtigungen des Datenbankkontos einschränken und Zugriffsprotokolle auf Anfragen an die bahmnicore-Suchendpunkte prüfen.
- Die Priorität ist hoch, falls das System aus dem Internet erreichbar ist, andernfalls mittel.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- GitHub Security Advisory GHSA-cg9w-r5g6-cxq5 github.com
- CVE Record CVE-2026-63192 www.cve.org
- Bahmni Security Patch July 02 2026 Release Notes bahmni.atlassian.net
- Strix CVE-2026-63192 www.strix.ai
- OSV CVE-2026-15477 osv.dev
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 07:01.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.