OFFIS DCMTK: Denial of Service durch tief verschachtelte DICOM-Sequenzen
Zusammenfassung
Die Bibliothek dcmdata in OFFIS DCMTK 3.7.0 verarbeitet DICOM-Datensätze mit unbegrenzter Rekursion für verschachtelte Sequenzen (SQ-Elemente). Ein nicht authentifizierter Angreifer aus dem Netzwerk kann einen präparierten Datensatz senden, beispielsweise per C-STORE-Anfrage an einen DCMTK-basierten DICOM-Dienst wie storescp oder dcmrecv, und so den Stack erschöpfen und den Prozess zum Absturz bringen. Der Datensatz wird vor jeder Authentifizierung verarbeitet, und auch lokale Werkzeuge wie dcmdump stürzen bei einer solchen Datei ab. Die Auswirkung beschränkt sich auf einen Denial of Service.
Betroffen
- OFFIS DCMTK 3.7.0
- Ältere Versionen: unbestätigt, der OSV-Bereich markiert alle Versionen vor Commit 885ff0f als betroffen.
Behoben in
- Commit 885ff0f10372bd589b5f44cea974f28a3964cb0f fügt eine konfigurierbare Begrenzung der Verschachtelungstiefe von Sequenzen hinzu (Standardwert 64).
- Zum Publikationsdatum war kein getaggtes DCMTK-Release mit dem Fix bekannt.
Umgehung
- DICOM-Ports (Standard 104 in vielen Umgebungen) per Firewall oder VPN auf bekannte Modality- und PACS-IP-Adressen beschränken.
- DICOM-Dienste nicht aus dem Internet erreichbar machen.
- Nicht vertrauenswürdige DICOM-Dateien nicht mit dcmdump öffnen.
Ausnutzung
- CISA SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung teilweise.
- Keine Hinweise auf Ausnutzung in freier Wildbahn und kein öffentlicher Proof of Concept gefunden.
- EPSS 0.00391 (Rapid7).
Unsere Empfehlung
- Prüfen, ob DCMTK-basierte DICOM-Dienste (PACS, Archiv, storescp, dcmrecv, dcmqrscp) im Einsatz sind und welche Version sie verwenden.
- Netzwerkzugriff auf die DICOM-Ports umgehend einschränken, insbesondere wenn ein Dienst aus dem Internet erreichbar ist.
- Commit 885ff0f anwenden oder DCMTK aus einem Master-Stand mit diesem Commit bauen und den Fix-Status der eigenen Distribution prüfen.
- Auf unerwartete Neustarts der Dienste achten.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Upstream fix commit 885ff0f github.com
- DCMTK issue #1191 support.dcmtk.org
- OSV CVE-2026-44031 osv.dev
- Ubuntu CVE-2026-44031 ubuntu.com
- OSV Debian CVE-2026-44031 osv.dev
- Nixpkgs issue 572410 github.com
- VulDB 415357 vuldb.com
- HOL Guard CVE-2026-44031 hol.org
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 05:17.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.