Nicht authentifizierte Remote Code Execution im DICOM-Receiver

mercure ist eine quelloffene DICOM-Routing- und Verarbeitungsplattform für Workflows in der medizinischen Bildgebung. Wir schätzen die Arbeit der Maintainer daran sowie ihre schnelle, konstruktive Reaktion auf diesen Bericht.

Das getdcmtags-Binary ist Teil der DICOM-Receiver-Pipeline. Nachdem storescp eine eingehende DICOM-Datei geschrieben hat, extrahiert getdcmtags die Tag-Werte und registriert die Datei beim Bookkeeper-Dienst. Diesen Registrierungsaufruf baut es per String-Verkettung als Shell-Kommando zusammen und führt ihn mit system() aus.

Zwei Tag-Werte, SOPInstanceUID und SeriesInstanceUID, werden mit DCMTKs findAndGetOFStringArray() gelesen, das die Rohbytes ohne Prüfung des DICOM-UID-Formats (nur Ziffern und Punkte) zurückgibt. Sie werden direkt in das Kommando verkettet:

void sendBookkeeperPost(OFString filename, OFString fileUID, OFString seriesUID)
{
    if (bookkeeperAddress.empty())
    {
        return;
    }

    std::string cmd = "wget -q -T 1 -t 3 --post-data=\"filename=";
    cmd.append(filename.c_str());     // enthält SeriesInstanceUID
    cmd.append("&file_uid=");
    cmd.append(fileUID.c_str());      // SOPInstanceUID, vom Angreifer kontrolliert
    cmd.append("&series_uid=");
    cmd.append(seriesUID.c_str());    // SeriesInstanceUID
    cmd.append("\"");
    cmd.append(" --header=\"Authorization: Token ");
    cmd.append(bookkeeperToken);
    cmd.append("\" http://");
    cmd.append(bookkeeperAddress);
    cmd.append("/register-dicom -O /dev/null");

    system(cmd.data());               // Command Injection
}

Vor der Verkettung führt readTag() eine kleine Zeichenersetzung durch, die unzureichend und in einem Fall sogar schädlich ist: Ein Carriage Return wird zu ; umgeschrieben, was einen Shell-Kommandotrenner einführt. Dollarzeichen, Klammern, Backticks und Pipes bleiben unverändert. Da die Werte im Kommando in doppelten Anführungszeichen stehen, wird $(...)-Kommandosubstitution weiterhin von der Shell ausgewertet:

OFCondition result = dataset->findAndGetOFStringArray(tag, out);
// ...
for (size_t i = 0; i < out.length(); i++)
{
    switch (out[i])
    {
    case 13:            // CR -> Semikolon
        out[i] = ';';
        break;
    case 10:            // LF -> Leerzeichen
        out[i] = ' ';
        break;
    case 34:            // doppeltes -> einfaches Anführungszeichen
        out[i] = 39;
        break;
    default:
        break;
    }
}

Der Receiver betreibt storescp mit --promiscuous und akzeptiert daher Verbindungen von beliebigen Calling-AE-Titeln ohne Authentifizierung. Ein einziges DICOM-C-STORE an Port 11112 mit einer präparierten SOPInstanceUID genügt: getdcmtags liest den Wert, übergibt ihn an sendBookkeeperPost(), und system() wertet das eingebettete Kommando während der Argumentexpansion aus. Der Bookkeeper muss nicht erreichbar sein; das eingeschleuste Kommando läuft, bevor wget fehlschlägt.

Die Injection zielt gezielt auf SOPInstanceUID. SeriesInstanceUID ist ebenfalls vom Angreifer kontrollierbar, wird aber zuvor für Verzeichniserstellung und Dateiumbenennung verwendet; Shell-Metazeichen lassen diese Dateioperationen fehlschlagen, sodass getdcmtags beendet wird, bevor der verwundbare Aufruf erreicht ist. SOPInstanceUID wird ausschließlich von sendBookkeeperPost() verarbeitet.

Die Befehlsausführung als Benutzer mercure (uid 1000) wird durch die Ausgabe eines eingeschleusten id-Kommandos bestätigt:

uid=1000(mercure) gid=1000(mercure) groups=1000(mercure)