J4Care dcm4chee-arc-light: Fehlende Authentisierung für kritische Funktion im DICOM-Dienst

Zusammenfassung

In der Standardkonfiguration akzeptiert das DICOM-Archiv dcm4chee-arc-light DICOM-Assoziationen von nicht registrierten calling AE-Titeln ohne Authentisierung. Ein entfernter Angreifer kann mit C-FIND und C-GET Patienteninformationen und medizinische Bilder auflisten und abrufen sowie mit C-STORE gefälschte Studien unter einer bestehenden Patientenidentität ablegen. Für den Angriff genügt Netzwerkzugriff auf den DICOM-Listener, Zugangsdaten sind nicht erforderlich.

Betroffen

• J4Care dcm4chee-arc-light 5.35.1 (von CISA als betroffen aufgeführt)
• Betroffenheit älterer Versionen: Unbekannt.

Behoben in

• Version 5.35.2 oder neuer (Empfehlung des Herstellers).
• Bestätigung, dass 5.35.2 CVE-2026-105279 vollständig abdeckt: Unbekannt, muss mit J4Care geklärt werden.

Umgehung

• Für diese CVE ist kein vom Hersteller veröffentlichter Workaround bekannt.
• DICOM-Listener per IP-Adresse und Firewall-Regeln auf bekannte Modalitäten und PACS beschränken.
• Das Archiv nicht über das öffentliche Internet erreichbar machen.

Ausnutzung

• CISA meldet keine bekannte öffentliche Ausnutzung, die speziell auf diese Schwachstellen abzielt.
• Kein öffentlicher Proof of Concept bestätigt.
• Nicht im CISA-KEV-Katalog. EPSS: 0.00241.
• CISA SSVC: automatisierbar ja, technische Auswirkung total.

Unsere Empfehlung

• Alle dcm4chee-arc-light-Instanzen und deren Versionen erfassen.
• Nach Test auf 5.35.2 oder neuer aktualisieren und J4Care schriftlich bestätigen lassen, dass der Fix diese CVE abdeckt.
• Bis zur Aktualisierung DICOM- und Web-Zugriff auf bekannte Netze beschränken und das System vom Internet fernhalten.
• Studien, Patientenakten und Löschvorgänge auf unerwartete Änderungen prüfen sowie Backups und Audit-Logs für den betroffenen Zeitraum kontrollieren.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• CISA ICS Medical Advisory ICSMA-26-288-02 www.cisa.gov
• CISA CSAF file ICSMA-26-288-02 github.com
• Tenable CVE-2026-105279 www.tenable.com
• dcm4chee-arc-light release 5.35.2 github.com
• Positive Technologies record PT-2026-115619 vulners.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 01:31.