Vulnerabilidad en DHIS 2 (CVE-2022-41948)

DHIS 2 es un sistema de información de código abierto para captura, gestión, validación, análisis y visualización de datos. Las versiones afectadas están sujetas a una vulnerabilidad de escalada de privilegios. Un usuario de DHIS2 con autoridad para administrar usuarios puede asignarse privilegios de superusuario manipulando manualmente una solicitud HTTP PUT. Sólo los usuarios con las siguientes autoridades de rol de usuario DHIS2 pueden aprovechar esta vulnerabilidad. Tenga en cuenta que en muchos sistemas los únicos usuarios con privilegios de administrador de usuarios también son superusuarios. En estos casos, la vulnerabilidad de escalada no existe. La vulnerabilidad solo es aprovechable por atacantes que pueden autenticarse como usuarios con autoridad de administrador de usuarios. Como suele tratarse de un grupo de usuarios pequeño y relativamente confiable, los vectores de explotación suelen ser limitados. Los administradores de DHIS2 deben actualizar a las siguientes versiones de revisión: 2.36.12.1, 2.37.8.1, 2.38.2.1, 2.39.0.1. El único workaround conocido para este problema es evitar la asignación de la autoridad de administración de usuarios a cualquier usuario hasta que se haya aplicado el parche.