Out-of-Bounds-Lesezugriff im DICOM-Bilddecoder (PMSCT_RLE1-Dekomprimierung)

Beschreibung

for (size_t i = 0; i < length; i++)
{
  if (inbuffer[i] == 0xa5)
  {
    temp.push_back(inbuffer[i+2]);    // OOB-Lesezugriff falls i >= length-2
    for (uint8_t repeat = inbuffer[i + 1]; repeat != 0; repeat--)
    {
      temp.push_back(inbuffer[i+2]);  // OOB-Lesezugriff bis zu 255-mal wiederholt
    }
    i += 2;
  }
  // ...
}

for (size_t i = 0; i < temp.size(); i++)
{
  if (temp[i] == 0x5a)
  {
    uint16_t v1 = temp[i + 1];       // OOB-Lesezugriff falls i >= temp.size()-1
    uint16_t v2 = temp[i + 2];       // OOB-Lesezugriff falls i >= temp.size()-2
    value = (v2 << 8) + v1;
    i += 2;
  }
  // ...
}

row 0: [  0,   0,   0,   0,   0,   0,   0,   0]
row 1: [  0,   0,   0,   0,   0,   0,   0,   0]
row 2: [  0,   0,   0,   0,   0,   0,   6,  12]
row 3: [ 18,  24,  30,  36,  43,  49,  55,  61]
row 4: [ 67,  73,  79,  85,  91,  97, 103, 109]
row 5: [115, 121, 128, 134, 140, 146, 152, 158]
row 6: [164, 170, 176, 182, 188, 194, 200, 206]
row 7: [213, 219, 225, 231, 237, 243, 249, 255]

==1==ERROR: AddressSanitizer: heap-buffer-overflow on address 0xffffa5437348
READ of size 1 at 0xffffa5437348 thread T18
    #0 in std::vector<unsigned char>::push_back()      stl_vector.h:1192
    #1 in Orthanc::DicomImageDecoder::DecodePsmctRle1() DicomImageDecoder.cpp:195
    #2 in Orthanc::DicomImageDecoder::ImageSource::Setup() DicomImageDecoder.cpp:275
    #3 in Orthanc::DicomImageDecoder::DecodeUncompressedImage() DicomImageDecoder.cpp:558
    #4 in Orthanc::DicomImageDecoder::Decode()          DicomImageDecoder.cpp:827
    #5 in Orthanc::ParsedDicomFile::DecodeFrame()       ParsedDicomFile.cpp:1823
    #6 in Orthanc::ServerContext::DecodeDicomFrame()    ServerContext.cpp:1921

0xffffa5437348 is located 0 bytes to the right of 24-byte region [0xffffa5437330,0xffffa5437348)
allocated by thread T18 here:
    #0 in operator new[]
    #1 in DcmElement::newValueField()                   dcelem.cc:788

Auswirkung

• Offenlegung von Informationen aus beliebigem Heap-Speicher über gerenderte Vorschaubilder, mit kontrollierter Verstärkung (ein OOB-Byte wird in der Ausgabe bis zu 256-mal wiederholt) durch den RLE-Wiederholungszähler.
• Durch Variation der Eingabe-Payload-Größe tastet der Angreifer über mehrere manipulierte Dateien hinweg unterschiedliche Heap-Offsets ab und baut einen mehrere Bytes umfassenden Heap-Dump auf.
• In Orthancs Default-Konfiguration (DicomAlwaysAllowStore: true) ist das Ablegen unauthentifiziert; das Auslösen erfordert Read-Level-Authentifizierung.
• Auf Builds mit striktem Heap-Layout (z. B. AddressSanitizer oder gehärteter glibc) kann ein Out-of-Bounds-Lesezugriff den Prozess abbrechen lassen; auf Standard-Builds ist das typische Resultat ein stiller Datenabfluss.

Abhilfe

Aktualisieren Sie Orthanc auf Version 1.12.11 oder höher. Der Patch fügt vor jedem i+1/i+2-Zugriff in beiden Durchgängen Grenzüberprüfungen ein und bricht das Decodieren mit BadFileFormat ab, sobald ein Escape-Marker auf zu wenig Folge-Daten trifft. Als sofortige Defense-in-Depth-Maßnahme setzen Sie DicomAlwaysAllowStore: false in orthanc.json und konfigurieren eine AET-Allowlist, was den unauthentifizierten Ablegevektor schließt.

Checkliste für Betreiber

• Version prüfen.

  curl -u <user>:<pass> http://<orthanc>:8042/system | jq .Version — der gepatchte Bereich beginnt bei 1.12.11.

• Unauthentifizierten C-STORE-Ablegevektor schließen.

  Setzen Sie DicomAlwaysAllowStore: false in orthanc.json und definieren Sie eine explizite DicomModalities-Allowlist legitimer AETs. Andernfalls kann jeder Host, der Port 4242 erreicht, das manipulierte DICOM unauthentifiziert ablegen.

• Vorschau-Endpunkt einschränken.

  Wenn Ihr Deployment keine Web-Vorschau benötigt, beschränken Sie GET /instances/*/preview an Ihrem Reverse-Proxy. Der Out-of-Bounds-Lesezugriff wird erst beobachtbar, wenn das manipulierte Bild gerendert wird.

• Read-Access-Konten prüfen.

  Ein Angreifer benötigt nur Read-Level-Credentials, um die ausgelesenen Heap-Daten zu sehen. Prüfen Sie RegisteredUsers in orthanc.json und ein externes Authentifizierungsbackend auf veraltete oder niedrig privilegierte Konten, die keinen Lesezugriff auf beliebige Studien haben sollten.

• DICOM-Speicher auf PMSCT_RLE1-Payloads prüfen.

  Durchsuchen Sie den Speicher nach Studien, die (7FE0,0010) PixelData weglassen, jedoch (0x07a1,0x1011) = "PMSCT_RLE1" enthalten. Studien aus Quellen außerhalb Ihres Modalitäten-Inventars oder mit unerwarteter Payload-Größe sollten vor dem Patch in Quarantäne und zur Prüfung gegeben werden.

Bewertung im Detail

Referenzen

• CVE-2026-5441 (NVD)
• VU#536588 (CERT/CC)
• Orthanc Fix-Commit
• Vendor Release Announcement (v1.12.11)

So können wir helfen

• DICOM-Sicherheitstests
• MDR-Penetrationstests
• §17 MPBetreibV