dcm4chee-arc-light
Remote Code Execution über XSLT-Attribute-Coercion
Das Archiv wendet Attribute-Coercion-Regeln an, die DICOM-Objekte beim Speichern, Abfragen oder Abrufen transformieren, und eine solche Regel darf ein XSLT-Stylesheet über eine URI benennen. Das Stylesheet wird mit einer XML-Transformer-Factory in ihrer freizügigen Voreinstellung kompiliert und darf deshalb Java-Erweiterungsfunktionen aufrufen. Wer die Archivkonfiguration schreiben kann, hinterlegt eine solche Regel und lässt beliebige Betriebssystembefehle im Dienstkonto des Archivs ausführen, sobald die Transformation das nächste Mal auf regulärem DICOM-Verkehr auslöst. Ein einzelner Speicher- oder Abfragevorgang genügt dafür.
Dieser Sicherheitshinweis enthält im Rahmen der koordinierten Offenlegung nur eingeschränkte Informationen. Bitte schauen Sie später für weitere Details vorbei.
Beschreibung
dcm4chee-arc-light ist das DICOM-Archiv und der Image Manager des dcm4che-Projekts und wird von Kliniken, Forschungsgruppen und Herstellern als offene Infrastruktur für Speicherung und Austausch medizinischer Bilddaten eingesetzt. Wir schätzen die langjährige Arbeit des Projekts an dieser Infrastruktur und die Sorgfalt, mit der die Maintainer diesen Bericht behandelt haben. Wir haben den Fund im Juni 2026 vertraulich an J4Care gemeldet; das Projekt hat konstruktiv reagiert und einen Fix veröffentlicht.
Der Fix aktiviert JAXP Secure Processing standardmäßig auf der gemeinsam genutzten Transformer-Factory der dcm4che-Bibliothek, wodurch Java-Erweiterungsfunktionen deaktiviert werden, und schränkt die Protokolle ein, über die ein externes Stylesheet geladen werden darf. Da die Factory gemeinsam genutzt wird, greift die Änderung für alle Nutzer der Bibliothek und nicht nur für den Coercion-Pfad. Dies ist eine koordinierte Offenlegung; die vollständige technische Darstellung folgt nach Ablauf des Remediation-Zeitraums.
Auswirkung
- Codeausführung im Archivprozess bringt den Zugriff mit sich, den das Archiv selbst auf den von ihm verwalteten Bildbestand hat. Der Prozess verwahrt die gespeicherten DICOM-Objekte und die Datenbank, die sie indexiert. Studien und die daran hängenden Patientenkennungen lassen sich daher lesen, verändern oder löschen, und die Zugangsdaten, die das Archiv für seine eigenen Backend-Dienste hält, sind in diesem Kontext lesbar.
- Die Bewertung bezieht sich auf die Bereitstellung, die die Projektdokumentation zuerst vorstellt und in der die Konfigurationsschnittstelle ohne Authentifizierung antwortet. Wird stattdessen der abgesicherte Build betrieben, verlangt die Konfigurationsschnittstelle lediglich die Basisrolle, die das mitgelieferte Konto mit geringen Rechten ohnehin besitzt. Die Kette bleibt dort für jeden authentifizierten Nutzer erreichbar und ist nicht geschlossen.
Abhilfe
Auf dcm4chee-arc-light 5.35.0 oder neuer aktualisieren, wo JAXP Secure Processing auf dem XSLT-Pfad aktiv ist. Bis dahin lässt sich die Angriffsfläche verringern, indem der Applikationsserver mit der JVM-Eigenschaft jdk.xml.enableExtensionFunctions auf false gestartet wird, was den Schritt zur Befehlsausführung unterbindet, ohne Attribute Coercion abzuschalten, und indem Konfigurations- und Steuerungsschnittstellen, der DICOM-Port und das LDAP-Konfigurationsbackend auf vertrauenswürdige Netze beschränkt werden.
Referenzen
So können wir helfen
Wer wir sind
Die Sicherheitsforscher hinter diesem Sicherheitshinweis.
Dr. rer. nat. Simon Weber
Senior Pentester & MedSec-Forscher
Ich evaluiere Ihr SaMD mit derselben branchenprägenden Sicherheitsexpertise, die ich dem BAK MV für die Überarbeitung des B3S-Standards beigetragen habe.
- Promotion über Krankenhaus-Cybersicherheit
- Kritische Schwachstellen in Krankenhaussystemen gefunden
- Alumni der THB MedSec-Forschungsgruppe
- gematik Security Hero
Dipl.-Inf. Volker Schönefeld
Senior Application Security Expert
Als ehemaliger CTO und Entwickler, der zum Pentester wurde, arbeite ich mit Ihrem Team zusammen, um Schwachstellen aufzudecken und Lösungen zu finden, die zu Ihrer Architektur passen.
- 20+ Jahre als CTO, 50+ Mio. App-Downloads
- Architektur und Absicherung großer IoT-Flotten
- Certified Web Exploitation Specialist
- gematik Security Hero
Penetrationstest gesucht?
Machine Spirits ist spezialisiert auf Sicherheitsbewertungen für Medizinprodukte und Gesundheits-IT. Von MDR-Penetrationstests bis C5-Cloud-Compliance helfen wir MedTech-Unternehmen, regulatorische Anforderungen zu erfüllen.