Out-of-Bounds-Lesezugriff im DICOM-Bilddecoder (DecodeLookupTable)

Beschreibung

for (unsigned int y = 0; y < height; y++)
{
  uint8_t* p = reinterpret_cast<uint8_t*>(target->GetRow(y));

  for (unsigned int x = 0; x < width; x++)
  {
    // OOB-Lesezugriff falls *source >= paletteSize
    p[0] = lutRed[*source] >> offsetBits;
    p[1] = lutGreen[*source] >> offsetBits;
    p[2] = lutBlue[*source] >> offsetBits;
    source++;
    p += 3;
  }
}

0000: 30 00 00 00 45 00 00 00 30 f9 0f 00 1e 99 bb f3   0...E...0.......
0010: 31 34 31 31 37 03 ff 00 08 18 66 62 70 03 ff 00   14117.....fbp...
0020: 40 00 00 00 45 00 00 00 20 00 00 00 63 5f 74 69   @...E... ...c_ti
0030: 67 00 54 00 21 00 00 00 90 00 ff 00 90 00 ff 00   g.T.!...........

==1==ERROR: AddressSanitizer: heap-buffer-overflow on address 0xffff95c34bf0
READ of size 2 at 0xffff95c34bf0 thread T17
    #0 in DecodeLookupTable                             DicomImageDecoder.cpp:497
    #1 in Orthanc::DicomImageDecoder::DecodeUncompressedImage() DicomImageDecoder.cpp:575
    #2 in Orthanc::DicomImageDecoder::Decode()          DicomImageDecoder.cpp:827
    #3 in Orthanc::ParsedDicomFile::DecodeFrame()       ParsedDicomFile.cpp:1823
    #4 in Orthanc::ServerContext::DecodeDicomFrame()    ServerContext.cpp:1921

0xffff95c34bf0 is located 0 bytes to the right of 32-byte region [0xffff95c34bd0,0xffff95c34bf0)
allocated by thread T17 here:
    #0 in operator new[]
    #1 in DcmElement::newValueField()                   dcelem.cc:788

Auswirkung

• Offenlegung von Informationen aus beliebigem Heap-Speicher (interne Orthanc-Identifier, DICOM-Tag-Daten, glibc-Chunk-Metadaten) über gerenderte Vorschaubilder.
• Drei eigenständige Heap-Lese-Primitiven pro Pixel (eine pro LUT). Durch Variation der Pixelwerte über manipulierte Dateien hinweg lassen sich unterschiedliche Heap-Offsets abtasten und ein mehrere Bytes umfassender Heap-Dump zusammensetzen.
• In Orthancs Default-Konfiguration (DicomAlwaysAllowStore: true) ist das Ablegen unauthentifiziert; das Auslösen des Lecks erfordert Read-Level-Authentifizierung.
• Erreicht der Out-of-Bounds-Lesezugriff eine nicht gemappte Speicherseite, terminiert der Orthanc-Prozess unerwartet. Auf Standard-Builds mit normalem Heap-Layout ist dies selten.

Abhilfe

Aktualisieren Sie Orthanc auf Version 1.12.11 oder höher. Der Patch fügt eine pixelweise Grenzüberprüfung (*source >= paletteSize → throw) innerhalb der Decode-Schleife ein. Als sofortige Defense-in-Depth-Maßnahme setzen Sie DicomAlwaysAllowStore: false in orthanc.json und konfigurieren eine explizite AET-Allowlist, was den unauthentifizierten Ablegevektor schließt.

Checkliste für Betreiber

• Version prüfen.

  curl -u <user>:<pass> http://<orthanc>:8042/system | jq .Version — der gepatchte Bereich beginnt bei 1.12.11.

• Unauthentifizierten C-STORE-Ablegevektor schließen.

  Setzen Sie DicomAlwaysAllowStore: false in orthanc.json und definieren Sie eine explizite DicomModalities-Allowlist legitimer AETs. Andernfalls kann jeder Host, der Port 4242 erreicht, das manipulierte DICOM unauthentifiziert ablegen.

• Vorschau-Endpunkt einschränken.

  Wenn Ihr Deployment keine Web-Vorschau benötigt, beschränken Sie GET /instances/*/preview an Ihrem Reverse-Proxy. Der Out-of-Bounds-Lesezugriff wird erst beobachtbar, wenn das manipulierte Bild gerendert wird.

• Read-Access-Konten prüfen.

  Ein Angreifer benötigt nur Read-Level-Credentials, um die ausgelesenen Heap-Daten zu sehen. Prüfen Sie RegisteredUsers in orthanc.json und ein externes Authentifizierungsbackend auf veraltete oder niedrig privilegierte Konten, die keinen Lesezugriff auf beliebige Studien haben sollten.

• Auf Abstürze nach Vorschau-Anfragen achten.

  Auf Builds mit striktem Heap-Layout kann der Out-of-Bounds-Lesezugriff gelegentlich eine nicht gemappte Seite treffen. Alarmieren Sie auf Orthanc-Prozessneustarts unmittelbar nach GET /instances/*/preview-Logeinträgen.

• DICOM-Speicher auf auffällige PALETTE-COLOR-Studien prüfen.

  Durchsuchen Sie den Speicher nach Studien mit PhotometricInterpretation = PALETTE COLOR und kleiner Palettengröße (z. B. paletteSize ≤ 16), deren Pixeldaten Werte größer als der Palettenbereich enthalten. Solche bereits vor dem Patch abgelegten Studien wurden möglicherweise bereits zur Speicheroffenlegung genutzt.

Bewertung im Detail

Referenzen

• CVE-2026-5445 (NVD)
• VU#536588 (CERT/CC)
• Orthanc Fix-Commit
• Vendor Release Announcement (v1.12.11)

So können wir helfen

• DICOM-Sicherheitstests
• MDR-Penetrationstests
• §17 MPBetreibV