JVN iPedia http://jvndb.jvn.jp Advisory JVNDB-2026-024366 HAPI FHIRは、Javaによる医療相互運用性のためのHL7 FHIR標準の完全な実装です。6.9.10より前のバージョンでは、CVE-2026-45367の修正がDSTU2モジュールに不完全に適用されており、org.hl7.fhir.dstu2.utils.FHIRPathEngine.javaのFHIRPathEngine.matches()がRegexTimeout保護なしで生のString.matches(sw)を呼び出していました。一方でreplaceMatches()は更新されていました。このため、認証されていない攻撃者が致命的な正規表現のバックトラッキングを引き起こし、サーバーのCPUを枯渇させる可能性がありました。この問題はバージョン6.9.10で修正されています。 cpe:/a:hapifhir:hl7_fhir_core https://jvndb.jvn.jp/ja/contents/2026/JVNDB-2026-024366.html Common Vulnerabilities and Exposures (CVE) CVE-2026-55470 https://www.cve.org/CVERecord?id=CVE-2026-55470 National Vulnerability Database (NVD) CVE-2026-55470 https://nvd.nist.gov/vuln/detail/CVE-2026-55470 GitHub Incomplete fix for CVE-2026-45367: DSTU2 FHIRPathEngine.matches() missing RegexTimeout protection allows ReDoS Advisory hapifhir/org.hl7.fhir.core GitHub https://github.com/hapifhir/org.hl7.fhir.core/security/advisories/GHSA-fxj4-p9xp-37v5 JVNDB CWE-1333 https://cwe.mitre.org/data/definitions/1333.html 関連文書 Release 6.9.10 hapifhir/org.hl7.fhir.core GitHub https://github.com/hapifhir/org.hl7.fhir.core/releases/tag/6.9.10 関連文書 Add regextimeout to dstu2 funcMatches hapifhir/org.hl7.fhir.core@56376f7 GitHub https://github.com/hapifhir/org.hl7.fhir.core/commit/56376f7986222626af061ca7fc27ee1ab030e590 2026-07-21T10:41:03+09:00 2026-07-21T10:41:03+09:00