Vulnerabilidad en vectores no especificados en el componente Tracker del servidor DHIS 2 (CVE-2021-39179)

DHIS 2 es un sistema de información para la captura, administración, comprobación, análisis y visualización de datos. Una vulnerabilidad de inyección SQL en el componente Tracker del servidor DHIS2 permite a atacantes remotos autenticados ejecutar comandos SQL arbitrarios por medio de vectores no especificados. Esta vulnerabilidad afecta a los endpoints de la API "/api/trackedEntityInstances" y "/api/trackedEntityInstances/query" en todas las versiones de DHIS2 2.34, 2.35 y 2.36. También afecta a las versiones 2.32 y 2.33 que han alcanzado el _fin de soporte_ - se han añadido actualizaciones de seguridad excepcionales a las últimas compilaciones de *fin de soporte* para estas versiones. Las versiones 2.31 y anteriores no se ven afectadas. El sistema es vulnerable a los ataques sólo de los usuarios que han iniciado sesión en DHIS2, y no se presenta forma conocida de explotar la vulnerabilidad sin haber iniciado sesión como usuario de DHIS2. La vulnerabilidad no está expuesta a un usuario no malicioso - la vulnerabilidad requiere un ataque consciente para ser explotada. Una explotación con éxito de esta vulnerabilidad podría permitir al usuario malicioso leer, editar y borrar datos en la instancia de DHIS2. No se presentan explotaciones conocidas de las vulnerabilidades de seguridad abordadas por estas versiones de parches. Los parches de seguridad están disponibles en las versiones de DHIS2 2.32-EOS, 2.33-EOS, 2.34.7, 2.35.7 y 2.36.4. No se presenta una solución directa conocida para las instancias de DHIS2 que usan la funcionalidad de Tracker, aparte de actualizar el servidor DHIS2 afectado a uno de los parches en los que es corregida esta vulnerabilidad. Para las implementaciones que NO usan la funcionalidad Tracker, puede ser posible bloquear todo el acceso de red a POST a los endpoints "/api/trackedEntityInstances", y "/api/trackedEntityInstances/query" como una solución temporal mientras se espera para actualizar