dcm4chee-arc-light
XML External Entity Injection über DICOMweb-Metadaten
Die DICOMweb-Endpunkte für Speicherung und Workitems nehmen DICOM-Metadaten als XML entgegen, das von einem SAX-Parser in seiner freizügigen Voreinstellung geparst wird. Ein Dokument, das eine externe Entity deklariert, bringt den Parser dazu, diese aufzulösen. Der expandierte Inhalt wird in ein DICOM-Attribut geschrieben und gespeichert. Da sich das gespeicherte Objekt über die Schnittstelle des Archivs wieder abrufen lässt, kommt der Inhalt einer Datei auf dem Archivhost im selben Kanal an den Aufrufer zurück, und eine Netzwerkreferenz an derselben Stelle veranlasst das Archiv, beim Parsen eine Anfrage an einen Host nach Wahl des Aufrufers zu stellen.
Dieser Sicherheitshinweis enthält im Rahmen der koordinierten Offenlegung nur eingeschränkte Informationen. Bitte schauen Sie später für weitere Details vorbei.
Beschreibung
dcm4chee-arc-light ist das DICOM-Archiv und der Image Manager des dcm4che-Projekts und wird von Kliniken, Forschungsgruppen und Herstellern als offene Infrastruktur für Speicherung und Austausch medizinischer Bilddaten eingesetzt. Wir schätzen die langjährige Arbeit des Projekts an dieser Infrastruktur und die Sorgfalt, mit der die Maintainer diesen Bericht behandelt haben. Wir haben den Fund im Juni 2026 vertraulich an J4Care gemeldet; das Projekt hat konstruktiv reagiert und einen Fix veröffentlicht.
Der Fix aktiviert JAXP Secure Processing standardmäßig auf der gemeinsam genutzten SAX-Parser-Factory der dcm4che-Bibliothek, sodass der Parser externe Entities nicht mehr auflöst. Wie bei der XSLT-Härtung im selben Release sitzt die Änderung in der Bibliothek und nicht an den Aufrufstellen und greift damit für alle Nutzer des Parsers. Dies ist eine koordinierte Offenlegung; die vollständige technische Darstellung folgt nach Ablauf des Remediation-Zeitraums.
Auswirkung
- Eine textförmige Datei, die das Dienstkonto des Archivs lesen kann, lässt sich von einem Aufrufer abholen, der sich nie authentifiziert hat. Auf einer Standardinstallation gehören dazu Konfigurationsdateien, die Zugangsdaten für die Backend-Dienste des Archivs im Klartext enthalten. Derselbe Mechanismus erreicht Hosts im internen Netz, die der Aufrufer nicht direkt adressieren kann, wobei das Archiv als Ursprung der Anfrage auftritt. Binärdateien sind auf diesem Weg nicht zu gewinnen, weil der Inhalt das XML-Parsing überstehen muss.
- Die Bewertung bezieht sich auf die Bereitstellung, die die Projektdokumentation zuerst vorstellt und in der die DICOMweb-Endpunkte ohne Authentifizierung antworten. Wird stattdessen der abgesicherte Build betrieben, verlangen diese Endpunkte die Basisrolle, die das mitgelieferte Konto mit geringen Rechten ohnehin besitzt. Der Fund bleibt dort bei entsprechend niedrigerer Bewertung für jeden authentifizierten Nutzer erreichbar.
Abhilfe
Auf dcm4chee-arc-light 5.35.0 oder neuer aktualisieren, wo der gemeinsam genutzte Parser externe Entities nicht mehr auflöst. Bis dahin lässt sich die Angriffsfläche verringern, indem die DICOMweb-Endpunkte auf vertrauenswürdige Netze beschränkt werden. Zugangsdaten, die auf einem exponierten Archiv in der Konfiguration liegen, sollten als offengelegt behandelt und gewechselt werden, da dieser Fund im Audit-Bestand des Archivs nur als gewöhnlicher Speichervorgang erscheint.
Referenzen
So können wir helfen
Wer wir sind
Die Sicherheitsforscher hinter diesem Sicherheitshinweis.
Dr. rer. nat. Simon Weber
Senior Pentester & MedSec-Forscher
Ich evaluiere Ihr SaMD mit derselben branchenprägenden Sicherheitsexpertise, die ich dem BAK MV für die Überarbeitung des B3S-Standards beigetragen habe.
- Promotion über Krankenhaus-Cybersicherheit
- Kritische Schwachstellen in Krankenhaussystemen gefunden
- Alumni der THB MedSec-Forschungsgruppe
- gematik Security Hero
Dipl.-Inf. Volker Schönefeld
Senior Application Security Expert
Als ehemaliger CTO und Entwickler, der zum Pentester wurde, arbeite ich mit Ihrem Team zusammen, um Schwachstellen aufzudecken und Lösungen zu finden, die zu Ihrer Architektur passen.
- 20+ Jahre als CTO, 50+ Mio. App-Downloads
- Architektur und Absicherung großer IoT-Flotten
- Certified Web Exploitation Specialist
- gematik Security Hero
Penetrationstest gesucht?
Machine Spirits ist spezialisiert auf Sicherheitsbewertungen für Medizinprodukte und Gesundheits-IT. Von MDR-Penetrationstests bis C5-Cloud-Compliance helfen wir MedTech-Unternehmen, regulatorische Anforderungen zu erfüllen.