SmileCDR HAPI FHIR: обход изоляции тенантов через подмену партиции (CVE-2026-113874)

Команда безопасности SmileCDR HAPI FHIR раскрыла информацию об уязвимости CVE-2026-113874, затрагивающей механизм разграничения доступа между арендаторами (тенантами). Проблема получила оценку 8.1 по шкале CVSS, что соответствует высокому уровню критичности, и напрямую влияет на конфиденциальность и целостность медицинских данных, обрабатываемых в системе.

Подробности

Уязвимость затрагивает продукт SmileCDR HAPI FHIR. Суть проблемы заключается в том, что система позволяет недоверенному телу bundle (запроса) заменить идентификатор партиции, ранее установленный доверенным источником. Иными словами, злоумышленник может подменить «метку» арендатора в запросе и тем самым направить операцию в чужую партицию хранения.

Дополнительным фактором риска является то, что SmileCDR HAPI FHIR по умолчанию не обеспечивает принудительную проверку прав на партицию хранения (storage partition entitlement). В результате атакующий, авторизованный для одного тенанта, получает возможность читать данные и записывать их в партицию другого тенанта. Это нарушает базовый принцип мультитенантной изоляции, на котором строится безопасная эксплуатация медицинских информационных систем.

Уязвимости присвоен идентификатор CVE-2026-113874, базовая оценка CVSS — 8.1 (HIGH). Столь высокая оценка обусловлена потенциальным раскрытием и компрометацией данных пациентов, а также возможностью несанкционированного изменения записей в чужих партициях.

Что делать

Организациям, использующим SmileCDR HAPI FHIR, рекомендуется в приоритетном порядке проверить наличие обновлений от производителя и установить исправленную версию, устраняющую описанный сценарий подмены партиции. Перед обновлением следует ознакомиться с официальными примечаниями к релизу и рекомендациями вендора.

В качестве дополнительных мер защиты рекомендуется включить и настроить принудительную проверку прав на партицию хранения, если такая возможность предусмотрена конфигурацией продукта, а также ограничить круг систем и пользователей, способных передавать bundle-запросы с управлением идентификатором партиции. Целесообразно усилить мониторинг обращений к партициям и настроить оповещения о попытках доступа к данным за пределами ожидаемого тенанта. До установки патча подобные компенсирующие меры снижают вероятность эксплуатации уязвимости.

Уязвимость CVE-2026-113874 демонстрирует, насколько критична корректная реализация мультитенантной изоляции в медицинских FHIR-платформах: ошибка в обработке идентификатора партиции ставит под угрозу данные сразу нескольких арендаторов. Своевременное обновление и включение проверок прав на партиции позволяют закрыть этот вектор атаки.

Источник: CVE Project (cvelistV5)