AI 기반 정적 분석을 통한 OpenEMR 내 38개 CVE 및 CVSS 10.0 취약점 제거

AI uncovers 38 vulnerabilities in largest open source medical record software

2026년 4월 28일7분advanced

AI 요약

Context

방대한 사용자 기반을 가진 오픈소스 EHR 플랫폼 OpenEMR의 레거시 코드베이스 내 보안 검증 부재. 특히 REST API 및 웹 UI의 입력값 검증 미비와 FHIR 레이어의 아키텍처적 권한 제어 누락으로 인한 심각한 데이터 노출 위험 상존.

Technical Solution

SQL Order By 절 내 사용자 입력값의 직접 결합을 차단하는 Whitelisting 및 Identifier Escaping 도입
Where 절 내 파라미터 바인딩 미적용 지점에 Parameterized Query를 적용하여 SQL Injection 원천 차단
IPatientCompartmentResourceService 인터페이스 구현을 통한 FHIR CareTeam 엔드포인트의 Patient-scoping 필터 강제 적용
사용자 제공 레코드 식별자에 대한 접근 권한 검증 로직을 추가하여 IDOR(Insecure Direct Object Reference) 취약점 해결
환자 포털과 임상 인터페이스 간 Trust Boundary 보호를 위한 HTML/JavaScript Encoding 처리 적용
파일 경로 입력값의 디렉터리 제한 및 검증을 통한 Path Traversal 공격 경로 제거

실천 포인트

- REST API의 Sort/Filter 파라미터 처리 시 허용 리스트(Allow-list) 기반 검증 여부 확인 - 권한 제어 프레임워크 도입 시 인터페이스 누락으로 인한 Silent Failure 가능성 검토 - 사용자 입력값이 SQL 쿼리, HTML 렌더링, 파일 경로에 직접 전달되는 지점의 전수 조사

태그

#SQL Injection #IDOR #CVE #FHIR #Static Analysis

원문 읽기