HL7 FHIR規格を実装するオープンソースのJavaライブラリ兼サーバフレームワーク「HAPI FHIR」で、4件の脆弱性が確認されました。これらはSmile Digital Healthの臨床データリポジトリ兼ヘルスデータプラットフォーム「Smile CDR」に影響します。 4件の脆弱性を発見したのは、セキュリティ研究者のAbhinav Agarwal氏です。同氏は、Smile CDR 2026.05.R01が採用するHAPI FHIR 8.10.0に対して、これらを悪用できることを実証しました。Agarwal氏によると、脆弱性を悪用されると、テナント間でのデータへのアクセスや改ざん、患者記録の不正な開示、臨床データの漏えい、認証不要のサービス妨害につながる恐れがあります。
HAPI FHIRは広く使われているオープンソースのソフトウェアコンポーネントで、Smile Digital HealthのCDRプラットフォームだけが使っているわけではありません。ただし、HAPI FHIRプロジェクトを保守しているのはSmile Digital Healthです。このコンポーネントは無償で利用でき、多くのヘルスケア製品に組み込まれています。そのため、医療提供者が自らのリスクを見極めるのは容易ではありません。Agarwal氏によると、同氏はHAPI FHIRを利用する商用製品を、ほかに8製品確認したとのことです。発表時点で、これらの欠陥が悪用された事例は確認されていません。
脆弱性は次のとおりです。
- CVE-2026-113873：高度に圧縮されたデータの不適切な処理 – 重大度「高」。認証されていない攻撃者が圧縮ペイロードを送り付けると、展開時にサーバのヒープを枯渇させたり、サービスをクラッシュさせたりする恐れがあります。CVSS v3.1のベーススコアは7.5、v4.0のベーススコアは8.7です。
- CVE-2026-113874：不適切な認可 – 重大度「高」。SmileCDRのHAPI FHIRでは、信頼できないバンドル本文によって、信頼できる送信元がすでに確立したパーティションを置き換えることができます。ストレージパーティションの権限付与は、デフォルトでは適用されません。この脆弱性を悪用されると、あるテナントに対する権限を持つ攻撃者が、別のテナントのパーティション内のデータを読み書きできる恐れがあります。CVSS v3.1のベーススコアは8.1、CVSS v4.0のベーススコアは8.6です。
- CVE-2026-113876：不正な読み取りアクセス – 重大度「中」。Smile CDRのHAPI FHIRは、条件付き作成（conditional create）操作の認可を正しく確認していません。CREATE権限は持つものの、READ権限は持たないユーザーが、既存リソースに一致する条件を指定して条件付き作成を送信すると、対象リソースの内容を取得できてしまいます。CVSS v3.1のベーススコアは5.3、CVSS v4.0のベーススコアは5.3です。
- CVE-2026-113875：認可の欠如 – 重大度「低」。この脆弱性は、REST-hookサブスクリプションを有効にしたSmile CDRのHAPI FHIRサーバに影響します。サブスクリプション作成権限を付与されたユーザーは、指定したエンドポイントで、自身の読み取り権限の範囲外にある臨床リソース全体を照会・閲覧できます。今後一致するレコードも対象です。CVSS v3.1のベーススコアは3.1、CVSS v4.0のベーススコアは2.3です。
Smile CDRヘルスデータプラットフォームが使うオープンソースエンジンHAPI FHIRの欠陥は、米国の保険者（ペイヤー）30社超の環境に影響する可能性があります。対象となる環境には、米国の1億1000万人超の健康データが含まれます。Smile Digital Healthは、CVE-2026-113873を11月のリリースで修正すると確認しました。また、CVE-2026-113874を悪用できるのは、少なくとも1つのパーティションへのアクセス権限を持つ認証済みユーザーに限られるため、悪用される可能性は限定的だとしています。
翻訳元: https://www.hipaajournal.com/hapi-fhir-vulnerabilities-smile-cdr/
