Heap-Buffer-Overflow im DICOM-Bilddecoder durch VR-UL-Dimensionen

Beschreibung

// GetHeight() und GetWidth() liefern unsigned int (32 Bit) zurück.
// GetHeight() * GetWidth() läuft in 32 Bit über, bevor die Promotion auf size_t greift.
// Mit Rows=65536, Cols=65536: 65536 * 65536 = 2^32 → trunkiert auf 0
return (GetHeight() *
        GetWidth() *
        GetBytesPerValue() *
        GetChannelCount());

// memcpy verwendet die deklarierte Breite als Pitch (65536),
// der Pixeldatenpuffer ist jedoch nur 64 Bytes groß
memcpy(target, source, pitch);

==1==ERROR: AddressSanitizer: heap-buffer-overflow on address 0xffff9783ca20
READ of size 65536 at 0xffff9783ca20 thread T18
    #0 in __interceptor_memcpy
    #1 in memcpy                                        string_fortified.h:29
    #2 in Orthanc::ImageProcessing::Copy()              ImageProcessing.cpp:576
    #3 in Orthanc::ImageProcessing::Convert()           ImageProcessing.cpp:689
    #4 in Orthanc::DicomImageDecoder::DecodeUncompressedImage() DicomImageDecoder.cpp:607
    #5 in Orthanc::DicomImageDecoder::Decode()          DicomImageDecoder.cpp:827
    #6 in Orthanc::ParsedDicomFile::DecodeFrame()       ParsedDicomFile.cpp:1823
    #7 in Orthanc::ServerContext::DecodeDicomFrame()    ServerContext.cpp:1921

0xffff9783ca20 is located 0 bytes to the right of 64-byte region [0xffff9783c9e0,0xffff9783ca20)
allocated by thread T18 here:
    #0 in operator new[]
    #1 in DcmElement::newValueField()                   dcelem.cc:788

Auswirkung

• Persistenter Denial-of-Service: Eine einzelne gespeicherte 876-Byte-DICOM-Datei lässt den Orthanc-Prozess bei jeder Vorschau-Anfrage durch eine beliebige Person abstürzen. Ein Neustart stellt den Dienst wieder her, doch das manipulierte DICOM verbleibt; jede nachfolgende Vorschau lässt den Server erneut abstürzen.
• Heap-Read-Primitive: Die memcpy liest 65536 Bytes aus einem 64-Byte-Puffer und reicht damit in benachbarte Heap-Allokationen hinein. Ein Ausführen von beliebigem Programmcode innerhalb der Sicherheitsautorität des Orthanc-Prozesses wurde nicht nachgewiesen; die Form der Primitive (großer, zusammenhängender Lesezugriff mit angreifer-kontrollierter Länge) macht sie zu einem plausiblen Ziel für weitere Exploitation-Forschung.
• In Orthancs Default-Konfiguration (DicomAlwaysAllowStore: true) ist das Ablegen unauthentifiziert; der Auslöser benötigt nur eine Vorschau-Anfrage einer beliebigen Read-Level-Person.

Abhilfe

Aktualisieren Sie Orthanc auf Version 1.12.11 oder höher. Der Patch führt sowohl eine Dimensionsvalidierung zur Parse-Zeit (Ablehnung von Rows/Columns-Werten oberhalb 65535, der VR-US-Obergrenze) als auch 64-Bit-Arithmetik mit expliziten Überlaufprüfungen in GetFrameSize() durch. Als sofortige Defense-in-Depth-Maßnahme setzen Sie DicomAlwaysAllowStore: false in orthanc.json und konfigurieren eine AET-Allowlist, was den unauthentifizierten Ablegevektor schließt.

Checkliste für Betreiber

• Version prüfen.

  curl -u <user>:<pass> http://<orthanc>:8042/system | jq .Version — der gepatchte Bereich beginnt bei 1.12.11.

• Unauthentifizierten C-STORE-Ablegevektor schließen.

  Setzen Sie DicomAlwaysAllowStore: false in orthanc.json und definieren Sie eine explizite DicomModalities-Allowlist legitimer AETs. Andernfalls kann jeder Host, der Port 4242 erreicht, die persistent abstürzende DICOM-Datei unauthentifiziert ablegen.

• DICOM-Speicher vor dem Patch in Quarantäne und prüfen.

  Durchsuchen Sie den Speicher nach Studien, deren Rows oder Columns 65535 überschreiten — nur mit VR-UL-Kodierung möglich und konstruktionsbedingt manipuliert, da DICOM diese Tags als VR US (max. 65535) definiert. Vor dem Patch in Quarantäne geben, da die nächste Vorschau-Anfrage den Server abstürzen lässt.

• Vorschau-Berechtigungen prüfen.

  Sobald eine manipulierte Studie gespeichert ist, lässt jede Read-Level-Person, die GET /instances/*/preview aufruft, den Prozess abstürzen. Beschränken Sie den Vorschau-Zugriff am Reverse-Proxy auf die IPs der Integrationspunkte und Viewer, die ihn benötigen.

• Auf Crash-Restart-Zyklen nach Vorschau-Anfragen achten.

  Alarmieren Sie auf Orthanc-Neustarts (journalctl -u orthanc | grep -E 'SIGSEGV|killed'), die unmittelbar GET /instances/*/preview-Logeinträgen folgen. Wiederholte Abstürze derselben Study-ID deuten auf einen gespeicherten Angriff hin.

• Crash-Recovery konfigurieren.

  Bis der Speicher von der manipulierten Studie bereinigt ist, lässt jede Vorschau den Prozess abstürzen. Eine enge Service-Überwachung (systemd, Kubernetes Liveness Probes, Docker --restart) hält den Dienst zwischen den Anfragen verfügbar, behebt die Schwachstelle aber nicht.

Bewertung im Detail

Referenzen

• CVE-2026-5442 (NVD)
• VU#536588 (CERT/CC)
• Orthanc Fix-Commit
• Vendor Release Announcement (v1.12.11)

So können wir helfen

• DICOM-Sicherheitstests
• MDR-Penetrationstests
• §17 MPBetreibV