J4Care dcm4chee-arc-light: Fehlende Authentifizierung bei HL7 ADT^A40 Patientenzusammenführung
Zusammenfassung
In der Standardkonfiguration nimmt der HL7-Listener von dcm4chee-arc-light, einem medizinischen Bildarchiv, ADT^A40-Nachrichten zur Patientenzusammenführung entgegen, ohne das sendende System zu authentifizieren. Ein entfernter Absender ohne Zugangsdaten kann Studien und zugehörige Workflow-Datensätze von einer Patientenidentität einer anderen zuordnen. Die Rückgängigmachung der Zusammenführung im Archiv hebt diese Änderung nicht auf, weshalb betroffene Datensätze manuell korrigiert werden müssen.
Betroffen
- dcm4chee-arc-light 5.35.1
- Frühere Versionen: Unbekannt
Behoben in
- dcm4chee-arc-light 5.35.2 oder neuer
Umgehung
- Keine vom Hersteller dokumentierte Umgehungsmassnahme.
- Den Zugriff auf den HL7-Listener-Port auf bekannte, vertrauenswürdige Systeme beschränken und ihn bis zur Aktualisierung von nicht vertrauenswürdigen Netzwerken fernhalten.
Ausnutzung
- Keine Hinweise auf eine Ausnutzung in der Praxis gefunden.
- CISA SSVC: Exploitation none, Automatable yes.
- Kein öffentlicher Proof of Concept gefunden.
Unsere Empfehlung
- Prüfen, ob dcm4chee-arc-light im Einsatz ist und ob Version 5.35.1 betrieben wird.
- Auf 5.35.2 oder neuer aktualisieren; dieselbe Version behebt die übrigen Schwachstellen im CISA-Advisory ICSMA-26-288-02.
- Den Zugriff auf HL7- und DICOM-Dienste auf bekannte Systeme beschränken und diese Dienste nicht aus dem Internet erreichbar machen.
- HL7-Schnittstellenprotokolle und das Archiv auf unerwartete ADT^A40-Nachrichten und falsch zugeordnete Studien prüfen und gefundene Fehler manuell korrigieren.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- CISA ICS Medical Advisory ICSMA-26-288-02 www.cisa.gov
- CISA CSAF document ICSMA-26-288-02 github.com
- dcm4chee-arc-light releases github.com
- HL7 v2.3 ADT^A40 trigger event hl7-definition.caristix.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 02:18.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.