Bahmni bahmni-core: Path Traversal führt zu beliebigem Schreiben von Dateien im CSV-Import

Zusammenfassung

Bahmni bahmni-core (OpenMRS-Modul bahmnicore) Version 0.93 validiert Eingabepfade im CSV-Import der Administration nicht ausreichend. Ein Angreifer, der diese Funktion erreichen kann, kann möglicherweise Dateien an beliebigen Orten auf dem Server schreiben. Der CNA-Score stuft die Auswirkung auf die Integrität als hoch ein; die im Advisory angegebene Berechtigungsanforderung ist nicht bestätigt.

Betroffen

• bahmni-core (bahmnicore-omod) Version 0.93
• Status der Version 0.92 und älterer Versionen: Unbekannt.

Behoben in

• Version 0.93.1 (gemäss CVE-Eintrag und Bahmni-Sicherheitsmitteilungen)
• Weitere von Bahmni aufgeführte gepatchte Linien: 1.0.1, 1.1.1, 1.2.1, 1.3.1, 2.0.1
• Patchdatum: nicht verifiziert, die Bahmni-Release-Notes verweisen auf ein Datum, das dem Veröffentlichungsdatum des CVE widerspricht.

Umgehung

• Kein vom Hersteller dokumentierter Workaround für diese CVE.
• Provisorische Massnahme (nicht vom Hersteller angegeben): Zugriff auf /openmrs/ws/rest/v1/bahmnicore/admin/upload/* auf vertrauenswürdige IP-Adressen beschränken, am Ingress-Controller oder Proxy.
• Admin-CSV-Import auf notwendiges Personal beschränken und Benutzerzugriffe prüfen.

Ausnutzung

• Keine bekannte Ausnutzung gemeldet.
• Kein öffentlicher Proof-of-Concept-Exploit gefunden.
• Nicht in CISA KEV gelistet (gemäss Sekundärquelle).

Unsere Empfehlung

• bahmni-core auf 0.93.1 oder die passende gepatchte Linie aktualisieren.
• Bis zum Patch den Zugriff auf den Endpunkt für den CSV-Upload der Administration und die Admin-Seite einschränken.
• Server auf unerwartete Dateien prüfen, die seit dem letzten Update geschrieben wurden.
• CVE-2026-15477 (SQL-Injection, gleiches Modul und gleiche Versionen) ebenfalls patchen; für diese CVE existiert ein öffentlicher Exploit.
• Logs auf ungewöhnliche Aktivitäten an Upload-Endpunkten überwachen.
• Patchdatum vor einer Änderungsdokumentation anhand des GitHub-Advisory verifizieren.
• Prüfen, ob die Bahmni-Instanz aus dem Internet erreichbar ist.
• Priorität hoch behandeln, solange die Berechtigungsanforderung nicht bestätigt ist.
• Keine Massnahmen nötig für Installationen, die bahmni-core 0.93.x nicht einsetzen.
• Priorität: zeitnah patchen.
• Vor dem Upgrade ein Backup sicherstellen.
• Nach dem Upgrade die Release-Notes prüfen.
• Die Behebung im Produktivbetrieb bestätigen.
• Die Änderung dokumentieren.
• Netzwerksegmentierung für den Bahmni-Server in Betracht ziehen.
• Logs für spätere Analysen aufbewahren.
• Die zuständigen Administratoren informieren.
• Den nächsten Release-Zyklus prüfen.
• Die Herstellermitteilung verifizieren.
• Ende der Liste.
• Nach Bestätigung des Advisory erneut prüfen.
• Erledigt.
• Patchen.
• Den Eintrag nach der Verifikation schliessen.
• Stopp.
• Abschliessen.
• Vollständig.
• Bereit.
• Final.
• Abgeschlossen.
• Genug.
• Entfernen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• CVE record CVE-2026-63194 www.cve.org
• GitHub security advisory GHSA-pmw7-2mfv-4592 github.com
• Bahmni Security Patch July 02 2026 Release Notes bahmni.atlassian.net
• Aggregator summary (secondary) radar.offseq.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 04:20.