J4Care dcm4chee-arc-light: Fehlende Autorisierung bei Speicherstatusänderung
Zusammenfassung
Der REST-Dienst zur Änderung des Speicherstatus von dcm4chee-arc-light, einem DICOM-Archiv für medizinische Bilder, akzeptiert Speicherorte, die noch mit DICOM-Instanzen verknüpft sind, und erlaubt deren Umstellung auf löschbezogene Zustände. Wird ein Speicherort auf TO_DELETE gesetzt, löscht der PurgeStorageScheduler das gespeicherte Objekt, während der Instanzeintrag in der Datenbank bestehen bleibt. Ein Angreifer, der den REST-Dienst erreichen kann, kann dadurch gespeicherte medizinische Bilder löschen, was zu Datenverlust in einem klinischen Archiv führen kann. Laut CISA kann eine erfolgreiche Ausnutzung zudem Patientendaten offenlegen, gefälschte Studien einschleusen, Patientenakten neu zuordnen, Dateien überschreiben und einen Denial-of-Service auslösen.
Betroffen
- dcm4chee-arc-light 5.35.1 (CISA ICSMA-26-288-02)
- Versionen vor 5.35.1: von CISA nicht als betroffen aufgeführt
- Version 5.35.0: nur von VulDB genannt, unbestätigt, bis J4Care dies bestätigt
Behoben in
- Release 5.35.2 oder neuer (J4Care)
Umgehung
- Für diese CVE ist keine separate Workaround-Massnahme bekannt. Das Upgrade auf 5.35.2 oder neuer ist die Behebung.
- Den Zugriff auf DICOM und REST auf bekannte, vertrauenswürdige Systeme beschränken als vorübergehende Netzwerkmassnahme. Dies ist keine verifizierte Behebung für diese CVE.
Ausnutzung
- CISA meldet derzeit keine bekannte öffentliche Ausnutzung dieser Schwachstellen.
- Kein öffentlicher Proof-of-Concept gefunden.
- Laut einer Drittquelle nicht im CISA KEV-Katalog aufgeführt, nicht unabhängig verifiziert.
- CISA SSVC: Ausnutzung keine, automatisierbar ja, technische Auswirkung partiell.
Unsere Empfehlung
- Alle dcm4chee-arc-light-Instanzen und deren Versionen ermitteln.
- Jede Instanz mit Version 5.35.1 auf 5.35.2 oder neuer aktualisieren.
- Bis zum Upgrade den Zugriff auf DICOM und REST auf vertrauenswürdige Systeme beschränken und prüfen, dass diese Schnittstellen nicht aus unvertrauenswürdigen Netzen erreichbar sind.
- Backups des Bildarchivs prüfen und auf unerwartete Löschungen achten.
- Von Integratoren oder Hostinganbietern, die ein DICOM-Archiv für Sie betreiben, eine Bestätigung ihres Status verlangen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- CISA ICS Medical Advisory ICSMA-26-288-02 www.cisa.gov
- CSAF JSON ICSMA-26-288-02 github.com
- dcm4chee-arc-light Release 5.35.2 github.com
- threatint CVE-2026-97851 cve.threatint.com
- VulDB entry 421295 vuldb.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 16:02.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.