В архиве медицинских изображений dcm4chee-arc-light от компании J4Care нашли шесть уязвимостей. В версии 5.35.1 часть запросов проходит без проверки учётных данных и прав доступа, поэтому посторонний узел в сети может выгрузить сведения о пациентах вместе со снимками, дописать вымышленное исследование в чужую карточку, перенести исследования на другую личность, а в одном случае стереть или перезаписать файлы в хранилище. Три другие ошибки ведут к отказу в обслуживании: намеренно испорченный файл надолго занимает обработчик. J4Care закрывает все шесть проблем в версии 5.35.2.
Уязвимости в dcm4chee-arc-light версии 5.35.1
dcm4chee-arc-light - открытый архив для хранения и обмена медицинскими изображениями, система класса PACS (архив снимков с поиском и выдачей). Он работает с DICOM, стандартом обмена медицинскими изображениями и связанными с ними сведениями, и с HL7, протоколом передачи данных между медицинскими информационными системами. Такие архивы разворачивают в больницах, диагностических центрах и клинических сетях по всему миру. CISA, агентство США по кибербезопасности и защите инфраструктуры, относит медицинские организации к критической инфраструктуре. Об ошибках агентству сообщил Абхинав Агарвал, бюллетень вышел 15 октября 2026 года. Сведений о реальных атаках с использованием этих уязвимостей в CISA не поступало. Две уязвимости из шести получили 9,1 балла по шкале CVSS 3.1, остальные - 7,5.
Доступ к снимкам без учётных данных
Первая группа ошибок связана с проверкой прав и подлинности обращающейся стороны. В настройках по умолчанию архив принимает DICOM-соединения от приложений, не зарегистрированных в списке доверенных узлов (AE - приложение-участник обмена). Значит, любой узел, до которого доходит сетевой доступ к архиву, может искать карточки пациентов и выгружать их вместе со снимками. Тот же канал позволяет записать вымышленное исследование под именем уже существующего пациента. Уязвимость зарегистрирована как CVE-2026-105279 и требует 9,1 балла по CVSS 3.1.
Отдельная ошибка касается службы, которая меняет статус хранения снимков (CVE-2026-97851). Записи о размещении файлов ещё связаны с исследованиями, но их можно перевести в состояние, связанное с удалением. После этого планировщик очистки стирает сам объект из хранилища, тогда как запись об исследовании остаётся в базе. Каталог продолжает ссылаться на снимки, которых физически нет, и расхождение обнаруживается не сразу.
Третья лазейка открыта в приёме сообщений о слиянии карточек пациентов. Слушатель HL7 в настройках по умолчанию не удостоверяется в отправителе, поэтому сторонняя система может прислать такое сообщение и перевести исследования вместе с рабочими записями с одной личности на другую. Отмена слияния в архиве не возвращает данные на прежнее место. По CVSS 3.1 эта уязвимость оценивается в 7,5 балла, хотя последствия касаются целостности записей.
Разбор файлов уводит сервис в цикл
Вторая группа ошибок не даёт доступа к данным, зато позволяет остановить работу архива. Разборщик изображений JPEG уходит в бесконечный цикл, если поток специально сформирован или обрезан. Разборщик контейнеров MP4 не проверяет размеры внутренних блоков, и повреждённый блок заставляет его снова и снова обрабатывать одни и те же данные, не продвигаясь вперёд. Ещё одна ошибка кроется в обработке составных HTTP-запросов: сравнение границ блоков и копирование буферов выполняются неэкономно, поэтому подготовленный запрос вызывает многократные лишние операции.
Все три уязвимости получили 7,5 балла по CVSS 3.1. Ни одна из них не требует учётных данных, к тому же для срабатывания достаточно одного обращения. По этой причине одиночный внешний запрос способен занять вычислительные ресурсы и довести архив до отказа в обслуживании. В клинике это означает, что снимки перестают открываться у всех пользователей сразу.
Что делать администраторам
Обновление до версии 5.35.2 закрывает все шесть ошибок, и это самый короткий путь. Пока обновление не установлено, архив размещают за межсетевым экраном и убирают из интернета. Доступ к нему из корпоративной сети стоит ограничить отдельным сегментом, а не оставлять общим. Если удалённая работа нужна, для неё используют VPN, поддерживая его в актуальном состоянии. Дополнительно проверяют списки доверенных узлов DICOM и отправителей HL7, чтобы в них не осталось лишних участников.
Медицинский архив отличается от обычного файлового хранилища ценой ошибки в записи. Перепутанная карточка означает неверное лечение, а пропавший снимок всплывает уже в ходе разбирательства. Уязвимости в dcm4chee-arc-light бьют именно по целостности данных и по доступности сервиса, поэтому обновление здесь важнее, чем оценка вероятности атаки.
Ссылки
