Schwachstelle im Orthanc DICOM Server ermöglicht authentifizierten Angreifern die Beschädigung des Heap-Speichers

Eine schwerwiegende Schwachstelle im Orthanc DICOM Server kann es einem entfernten, authentifizierten Angreifer ermöglichen, durch die Übermittlung eines manipulierten Bildes einen Heap-Out-of-Bounds-Write auszulösen. Die daraus resultierende Speicherkorruption kann den Serverprozess zum Absturz bringen und den Zugriff auf Dienste unterbrechen, die medizinische Bildgebungsabläufe unterstützen.

CISA veröffentlichte die Informationen zu dem Problem am 10. September 2026 in einem ICS-Sicherheitsbulletin für den medizinischen Bereich. Die als CVE-2026-87020 erfasste Schwachstelle betrifft Versionen des Orthanc DICOM Server vor 1.13.0.

Zum Zeitpunkt der Veröffentlichung des CISA-Sicherheitsbulletins lagen keine Meldungen über eine öffentliche Ausnutzung vor, die sich gezielt gegen diese Schwachstelle richtete. Es wurden kein zugehöriger Bedrohungsakteur, keine Kampagne, keine betroffene Organisation und keine Indicators of Compromise identifiziert.

Versionen vor Orthanc 1.13.0 sind betroffen

CVE-2026-87020 betrifft Releases des Orthanc DICOM Server vor Version 1.13.0. Das betroffene Produkt wird weltweit im Gesundheitswesen und im Bereich Public Health eingesetzt. Dadurch ist die Verfügbarkeit auch dann ein erhebliches betriebliches Risiko, wenn die Vertraulichkeit nicht unmittelbar beeinträchtigt ist.

Organisationen sollten ihre Orthanc-Installationen inventarisieren und jede Instanz identifizieren, auf der ein Release vor 1.13.0 ausgeführt wird. Die Prüfung sollte auch Systeme umfassen, die nur über interne Netzwerke oder Remote-Access-Infrastrukturen erreichbar sind, und sich nicht ausschließlich auf öffentlich zugängliche Installationen beschränken.

Die veröffentlichte Versionsgrenze zeigt, dass ein Upgrade auf Version 1.13.0 oder höher den Server aus dem bekannten betroffenen Versionsbereich herausführt. Administratoren sollten die Release- und Validierungsprozesse von Orthanc befolgen, anstatt das Update als routinemäßigen, kontextunabhängigen Pakettausch zu behandeln.

Diese Validierung ist in klinischen Umgebungen besonders wichtig. Änderungen an der DICOM-Erfassung, -Verarbeitung, -Speicherung oder -Integration müssen möglicherweise vor dem Einsatz in der Produktion mit den verbundenen Systemen getestet werden.

Integer-Überlauf führt zu einem zu kleinen Heap-Puffer

Der Schwachstelle liegt ein Integer-Überlauf beziehungsweise ein Wraparound zugrunde, der als CWE-190 klassifiziert ist. Er tritt auf, während Orthanc die Bildzeilenbreite (Pitch) und die beim Decodieren benötigte Größe des Speicherpuffers berechnet.

Ein Angriff läuft nach folgendem Muster ab:

1. Ein authentifizierter Angreifer sendet ein Bild, dessen Abmessungen oder andere Eigenschaften die Arithmetik des Decoders beeinflussen.
2. Orthanc berechnet die Bildzeilenbreite und die benötigte Puffergröße.
3. Die Berechnung läuft über, wodurch ein falscher Größen- oder Grenzwert entsteht.
4. Die Anwendung reserviert zu wenig Heap-Speicher oder verwendet ungültige Grenzwerte.
5. Beim Decodieren werden Daten über das Ende des reservierten Puffers hinaus geschrieben.

Die bestätigten technischen Beschreibungen nennen ausdrücklich vom Angreifer kontrollierte PNG-Dateien. In der Zusammenfassung von CISA werden außerdem PNG- oder JPEG-Eingaben erwähnt, der ausführliche CISA-Eintrag und die NVD-Beschreibung nennen jedoch beide die PNG-Decodierung. Daher ist PNG das eindeutig bestätigte Angriffsformat; JPEG erscheint lediglich in der allgemeineren Zusammenfassung von CISA.

Ein Heap-Out-of-Bounds-Write ist ein Fehler der Speichersicherheit und nicht lediglich eine Zurückweisung fehlerhaft formatierter Eingaben. Daten werden außerhalb des für das Bild reservierten Speicherbereichs geschrieben, wodurch angrenzende Inhalte im Heap beschädigt und der Orthanc-Prozess destabilisiert werden können.

Als dokumentierte Folge gelten ein Absturz und ein Denial-of-Service. Obwohl die Bewertung eine hohe Auswirkung auf die Integrität zuweist, belegen die verfügbaren Informationen keine Remote-Codeausführung. Administratoren sollten daher nicht davon ausgehen, dass ein solches Ergebnis nachgewiesen wurde. Ebenso wird keine Auswirkung auf die Vertraulichkeit angegeben.

Ausnutzung erfordert eine gültige authentifizierte Sitzung

Die Schwachstelle ist über ein Netzwerk erreichbar, weist eine geringe Angriffskomplexität auf und erfordert keine Benutzerinteraktion. Ein Angreifer muss jedoch über geringe Berechtigungen für den Orthanc-Dienst verfügen.

Diese Authentifizierungsanforderung schränkt die Angriffsfläche ein, macht das Problem jedoch nicht harmlos. Gestohlene Zugangsdaten, kompromittierte Dienstkonten, übermäßig weitreichende Integrationen oder ein anderer Zugriffspunkt innerhalb eines Gesundheitsnetzwerks könnten den erforderlichen Zugriff zur Übermittlung des manipulierten Bildes ermöglichen.

Der CVSS-3.1-Basiswert beträgt 8,1 und wird als Hoch eingestuft. Der Vektor lautet:

CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:H/A:H

CISA gibt außerdem einen CVSS-4.0-Wert von 7,2 an, ebenfalls mit der Einstufung Hoch:

CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:N/VI:H/VA:H/SC:N/SI:N/SA:N

Beide Bewertungen beschreiben einen über das Netzwerk erreichbaren Angriff, der geringe Berechtigungen und eine geringe Komplexität erfordert und keine Aktion eines weiteren Benutzers voraussetzt. Die Sicherheitsauswirkungen bleiben auf das betroffene System beschränkt. Die Vertraulichkeit wird als nicht beeinträchtigt bewertet, während Integrität und Verfügbarkeit als Hoch eingestuft werden.

Das praktische Risiko konzentriert sich auf Betriebsunterbrechungen und Speicherkorruption. Wenn der Orthanc-Prozess während der Unterstützung betrieblicher Bildgebungsabläufe beendet wird, verlieren Benutzer möglicherweise den Zugriff, bis der Dienst neu gestartet und die schädliche Eingabe entfernt oder isoliert wurde.

Keine öffentliche Ausnutzung und keine KEV-Frist gemeldet

Andrej Tomci meldete CVE-2026-87020 an CISA. Zum Zeitpunkt der Veröffentlichung des Sicherheitsbulletins erklärte die Behörde, dass ihr keine Meldungen über eine bekannte öffentliche Ausnutzung vorlägen, die sich gezielt gegen die Schwachstelle richte.

Derzeit gibt es keine Hinweise auf einen Zusammenhang der Schwachstelle mit Ransomware-Aktivitäten oder einer umfassenderen Einbruchskampagne. Ebenso wurden keine Indicators of Compromise veröffentlicht, mit denen Verteidiger eine bekannte Exploit-Nutzlast, einen zusammengehörigen Infrastruktur-Cluster oder ein Angreifer-Tool identifizieren könnten.

Die verfügbaren Informationen belegen nicht, dass CVE-2026-87020 in den Katalog der Known Exploited Vulnerabilities von CISA aufgenommen wurde. Eine KEV-Frist zur Behebung wurde nicht angegeben. Organisationen sollten die Schwachstelle daher von solchen mit bestätigter Ausnutzung unterscheiden, ihre Netzwerkreichweite und die erheblichen Auswirkungen auf die Verfügbarkeit jedoch ernst nehmen.

Das Fehlen entsprechender Angaben in den vorliegenden KEV-Informationen bedeutet nicht, dass eine Ausnutzung unmöglich ist. Es bedeutet lediglich, dass kein KEV-Status und keine verbindliche Frist auf Bundesebene im Zusammenhang mit dieser Veröffentlichung angegeben wurden.

Upgraden, Angriffsfläche reduzieren und Fehler bei der Bildverarbeitung überwachen

Die wichtigste Abhilfemaßnahme besteht darin, jede Instanz des Orthanc DICOM Server zu aktualisieren, auf der eine Version vor 1.13.0 ausgeführt wird. Administratoren sollten zunächst Abhängigkeiten erfassen und das ausgewählte Release anhand der klinischen und technischen Anforderungen testen.

Eine Reduzierung der Angriffsfläche bietet eine zusätzliche Schutzmaßnahme. Orthanc-Server und zugehörige Netzwerke medizinischer Geräte sollten nach Möglichkeit nicht mit dem öffentlichen Internet verbunden sein. Firewalls sollten den Zugriff auf die erforderlichen Systeme und Benutzer beschränken. Durch Netzwerksegmentierung sollten Umgebungen des Gesundheitswesens oder Steuerungssysteme von gewöhnlichen Unternehmensnetzwerken getrennt werden.

Wenn eine Fernanbindung erforderlich ist, sollten Organisationen abgesicherte Remote-Access-Kanäle wie VPNs verwenden. Die VPN-Software muss aktuell gehalten werden. Administratoren sollten jedoch auch die darüber verbundenen Endgeräte bewerten. Ein geschützter Tunnel kann weder eine kompromittierte Remote-Workstation noch gestohlene Orthanc-Zugangsdaten ausgleichen.

Verteidiger können mehrere unmittelbare Maßnahmen ergreifen:

• Orthanc-DICOM-Server-Installationen auffinden und ihre exakten Versionen dokumentieren.
• Upgrades für jedes Release vor 1.13.0 priorisieren.
• Prüfen, welche Konten und Integrationen Bilder hochladen oder übermitteln können.
• Netzwerkpfade zum Server auf ausdrücklich autorisierte Quellen beschränken.
• Protokolle auf unerwartete authentifizierte Bildübermittlungen und wiederholte Decoderfehler durchsuchen.
• Nicht erklärbare Abstürze, Neustarts oder Ressourcenunterbrechungen von Orthanc untersuchen.
• Verdächtige PNG-Dateien zur kontrollierten Analyse sichern, statt sie erneut über Produktivdienste zu öffnen.
• Bei verdächtigen Aktivitäten die internen Prozesse zur Reaktion auf Sicherheitsvorfälle einleiten.

Es liegen keine schwachstellenspezifischen Indicators of Compromise vor. Die Überwachung muss sich daher auf Verhaltensmuster konzentrieren: ungewöhnliche Bildübermittlungen, Anomalien bei der Authentifizierung, Decoderfehler und zeitnah aufeinanderfolgende Prozessabstürze.

Organisationen sollten vor Änderungen an Netzwerkkontrollen oder Produktionssoftware eine Auswirkungs- und Risikobewertung durchführen. Defense-in-Depth ist besonders relevant, wenn sofortige Upgrades durch Kompatibilitätstests oder Anforderungen an die klinische Verfügbarkeit eingeschränkt sind. Netzwerksegmentierung und Überwachung dürfen jedoch kein Ersatz dafür werden, den betroffenen Versionsbereich zu verlassen.