J4Care dcm4chee-arc-light: Endlosschleife im MP4-Parser

Zusammenfassung

J4Care dcm4chee-arc-light, ein DICOM-Archivserver für medizinische Bildgebung, enthält einen MP4-Parser, der MP4-Box-Grössen nicht ausreichend prüft. Eine fehlerhafte MP4-Box kann dazu führen, dass der Parser keinen Fortschritt macht und dieselben Eingabedaten wiederholt verarbeitet. Laut CVE-Eintrag kann ein Angreifer dies über das Netzwerk ohne Authentifizierung und ohne Benutzerinteraktion auslösen, mit einer Auswirkung auf die Verfügbarkeit (Denial of Service); CISA stuft die Auswirkung höher ein, inklusive Vertraulichkeit und Integrität.

Betroffen

• dcm4chee-arc-light 5.35.1 (gemäss CISA-Advisory ICSMA-26-288-02)
• Frühere Versionen: Unbekannt.

Behoben in

• dcm4chee-arc-light 5.35.2 oder neuer (Empfehlung von J4Care)

Umgehung

Unbekannt. In den Quellen ist kein Workaround des Herstellers dokumentiert. Netzwerkzugriff auf das Archiv bis zur Aktualisierung einschränken.

Ausnutzung

• Keine Hinweise auf Ausnutzung in freier Wildbahn gefunden.
• CISA SSVC: Exploitation none, automatable yes, technical impact partial.
• VulDB: kein verfügbarer Exploit.
• EPSS ist sehr niedrig (etwa 0.003, Daten von Drittanbietern).

Unsere Empfehlung

• dcm4chee-arc-light auf Version 5.35.2 oder neuer aktualisieren.
• Falls ein Update nicht sofort möglich ist, DICOM- und Web-Schnittstellen auf vertrauenswürdige Netzwerke beschränken und nicht dem Internet aussetzen.
• Prüfen, ob das Archiv aus Gast- oder unsicheren Netzwerken erreichbar ist, und entsprechend priorisieren.
• Hängende Prozesse, hohe CPU-Auslastung und Ressourcenerschöpfung auf dem Archivserver überwachen.
• Falls es sich um ein Medizinprodukt handelt oder der Hersteller Support leistet, das Update mit Hersteller oder Integrator abstimmen.
• Die CVSS-4.0-Werte weichen voneinander ab (8.7 im CVE-Eintrag, 9.3 im CISA-Advisory); von der höheren Bewertung ausgehen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• CISA ICS Medical Advisory ICSMA-26-288-02 www.cisa.gov
• CISA CSAF file ICSMA-26-288-02 github.com
• VulDB entry 421298 vuldb.com
• SecurityFocus CVE-2026-105273 www.securityfocus.com
• Threatint CVE-2026-105273 cve.threatint.com
• Vulners VulnCheck/EPSS CVE-2026-105273 vulners.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 02:21.