Orthanc DICOM サーバーのバージョン 1.12.10 以前には、画像デコードと HTTP リクエスト処理に影響を与える複数の脆弱性が存在します。これらの欠陥には、ヒープバッファオーバーフロー、範囲外読み取り、およびメモリ枯渇の問題が含まれており、細工された入力によって悪用される可能性があります。攻撃者は、これらの脆弱性を利用してサーバーをクラッシュさせ、機密データを漏洩させたり、リモートコード実行を達成したりする可能性があります。これらの脆弱性は、安全でない算術演算、重要な境界チェックの欠如、およびメタデータの不十分な検証に起因しています。これらの問題は、DICOM ファイルと HTTP リクエストの両方の処理内に存在します。特定された脆弱性には、メタヘッダーの解析、gzip 圧縮の処理、およびリソース枯渇につながる可能性のある ZIP アーカイブの処理が含まれます。範囲外読み取りは、独自の Philips 圧縮形式とパレットカラー画像に使用される画像デコード関数に存在します。ヒープバッファオーバーフローは、画像デコーダーだけでなく、PAM 画像解析ロジックでも発生します。Orthanc は、これらの脆弱性を修正するためにバージョン 1.12.11 をリリースしました。ユーザーは直ちにアップグレードし、アップロード/処理機能の露出を制限する必要があります。これらの脆弱性は、Machine Spirits UG の Dr. Simon Weber と Volker Schönefeld によって発見されました。