RUENЗагрузить файл
Новости · Безопасность файлов

CISA раскрыла 6 уязвимостей в архиве медицинских DICOM-файлов dcm4chee-arc-light

Агентство кибербезопасности США CISA опубликовало advisory по открытому архиву медицинских снимков dcm4chee-arc-light от австрийского разработчика J4Care. Шесть уязвимостей с максимальной оценкой CVSS 9.1 позволяют без пароля удалять DICOM-файлы пациентов, выгружать чужие медицинские изображения и подменять, к какому пациенту относится исследование. Система используется в больницах по всему миру для хранения рентгенов, КТ и МРТ.

20 октября 2026 Редакция LoadFile Чтение 5 мин
Сервер хранения медицинских файлов с повреждённым защитным экраном — уязвимости в архиве DICOM-снимков

Коротко: 15 октября 2026 CISA опубликовала advisory ICSMA-26-288-02 о шести CVE в dcm4chee-arc-light 5.35.1 — открытом архиве медицинских изображений формата DICOM. Худшие баги (CVSS v3 9.1) позволяют удалённо и без аутентификации удалять хранящиеся снимки или подменять, какому пациенту принадлежит исследование. Разработчик J4Care выпустил исправление в версии 5.35.2 — обновиться стоит как можно быстрее, если такой архив развёрнут в вашей организации.

Что такое dcm4chee-arc-light и DICOM

DICOM (Digital Imaging and Communications in Medicine) — стандартный формат медицинских изображений: в нём хранятся рентгеновские снимки, результаты КТ, МРТ и УЗИ вместе с метаданными о пациенте и исследовании. dcm4chee-arc-light — популярное open-source решение для хранения и обмена такими файлами (PACS-архив), которым пользуются больницы и клиники по всему миру; его развивает австрийская компания J4Care.

Что нашла CISA

В обновлённом advisory ICSMA-26-288-02 от 15 октября 2026 года CISA перечислила шесть уязвимостей в версии dcm4chee-arc-light 5.35.1, присвоив группе максимальный показатель CVSS v3 9.1. Коротко по каждой:

  • CVE-2026-97851 — REST-сервис смены статуса хранения позволяет пометить к удалению файл, который формально ещё связан с действующей DICOM-записью: планировщик очистки (PurgeStorageScheduler) реально стирает объект из хранилища, хотя запись о нём остаётся в базе.
  • CVE-2026-107621 — парсер JPEG-потока уходит в бесконечный цикл на специально повреждённом или обрезанном файле.
  • CVE-2026-105273 — парсер MP4-контейнеров не проверяет корректно размеры «боксов»: искажённый box заставляет разбор зацикливаться на одном и том же фрагменте входных данных.
  • CVE-2026-101021 — обработка multipart-потоков неэффективно сравнивает границы частей и лишний раз копирует буферы, из-за чего специально сформированный запрос резко повышает нагрузку на сервер.
  • CVE-2026-105279 — в конфигурации по умолчанию архив принимает DICOM-соединения от незарегистрированного клиента: удалённый узел может через команды C-FIND и C-GET перечислить и скачать данные пациентов и снимки, а через C-STORE — подложить поддельное исследование под видом существующего пациента.
  • CVE-2026-105667 — HL7-слушатель принимает сообщения о слиянии карт пациентов (ADT^A40) без проверки отправителя: удалённый источник может переназначить исследования и связанные записи от одного пациента к другому, а штатная функция «отмены слияния» это не откатывает.
!
Почему это серьёзно

По оценке CISA, успешная эксплуатация позволяет удалять сохранённые медицинские изображения, раскрывать данные пациентов, вставлять поддельные исследования, переназначать записи между пациентами, перезаписывать файлы и вызывать отказ в обслуживании архива. CISA относит сектор к критической инфраструктуре (здравоохранение) и отмечает, что система развёрнута по всему миру, но публично зафиксированных атак на эти конкретные уязвимости пока не выявлено.

Как это исправить

J4Care уже выпустила патч: разработчик рекомендует обновиться до dcm4chee-arc-light 5.35.2 или новее — там устранены все шесть проблем. CISA также советует стандартный набор компенсирующих мер для систем, которые пока не обновлены: минимизировать доступность архива из интернета, изолировать сеть медицинского оборудования от обычной офисной сети организации, использовать межсетевые экраны и защищённый удалённый доступ (VPN с актуальными обновлениями), а изменения в конфигурации предварительно проверять на влияние на рабочие процессы.

При чём тут работа с файлами

История показательна не только для медицины. Такие баги типичны для любого софта, который принимает файлы и метаданные от внешних источников и доверяет им без проверки: ошибка в парсере контейнера (как с JPEG- и MP4-разбором здесь) приводит к зависанию или отказу в обслуживании, а отсутствие аутентификации на уровне протокола обмена файлами — к тому, что чужой контент может быть подставлен под видом «своего». Разница с привычными уязвимостями архиваторов и кодеков в том, что здесь на кону не просто повреждённый файл на компьютере пользователя, а медицинские данные конкретных людей.

Похожая логика атаки — через искажённые метаданные формата файла — уже встречалась и в обычных архиваторах: подробнее в наших разборах уязвимости libarchive в Windows и path traversal в Rclone. Общие правила безопасной работы с присланными файлами — в разделе безопасность файлов.

Что делать, если вы отвечаете за такой архив

  1. Проверьте версию развёрнутого dcm4chee-arc-light. Если это 5.35.1 или более ранняя — запланируйте обновление до 5.35.2.
  2. До обновления закройте внешний доступ к DICOM-портам архива (C-STORE/C-FIND/C-GET) и HL7-интерфейсу — доступ должен быть только из доверенной внутренней сети.
  3. Проверьте список AE Title (Application Entity), зарегистрированных как доверенные клиенты, и уберите лишние или тестовые записи.
  4. Если принимаете сообщения ADT по HL7, убедитесь, что интеграционный движок проверяет источник отправителя, а не полагается только на доверие к сети.
  5. Перед изменением конфигурации в проде — сначала на тестовом стенде, с бэкапом базы и хранилища файлов.

Источники

Читайте также