RadiAnt DICOM : une faille dans les fichiers JPEG peut compromettre l’application

Vulnérabilité identifiée dans le visualiseur médical

Le 6 août 2026, la CISA a publié un avis concernant la vulnérabilité CVE-2026-17264 affectant Medixant RadiAnt DICOM, un logiciel utilisé pour visualiser des images médicales dans le secteur de la santé et de la santé publique.

Le défaut est classé CWE-787, Out-of-bounds Write. Toutes les versions 2025.2 et antérieures sont vulnérables.

La vulnérabilité peut potentiellement toucher des systèmes partout dans le monde. Medixant est basée en Pologne.

Un fichier DICOM spécialement conçu peut provoquer une écriture hors limites

L’attaque exploite un fichier DICOM spécialement conçu, contenant des données de pixels JPEG malveillantes. Lorsque l’utilisateur ouvre ce fichier avec RadiAnt DICOM, le traitement peut écrire des données au-delà des limites prévues dans le tas mémoire (heap).

Ce scénario peut provoquer le crash de l’application. La description technique mentionne également une possible exécution de code arbitraire à distance, même si l’impact documenté par les scores CVSS concerne principalement la disponibilité du programme.

L’interaction de l’utilisateur est nécessaire : le fichier doit être ouvert. Le vecteur d’attaque est toutefois considéré comme accessible via le réseau et ne nécessite aucun privilège.

Gravité moyenne, mais risque concret pour les environnements de santé

La vulnérabilité obtient un score CVSS 3.1 de 4.3, classé MEDIUM :

CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:L

Le score CVSS 4.0 est de 5.3, également classé MEDIUM :

CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:P/VC:N/VI:N/VA:L/SC:N/SI:N/SA:N

Le risque concerne les postes de travail et les systèmes utilisés pour consulter des images diagnostiques. Un fichier malveillant pourrait interrompre le fonctionnement du visualiseur ; en cas d’exploitation plus avancée, il pourrait entraîner d’autres conséquences sur le système exécutant le logiciel.

Aucune activité publique connue visant spécifiquement cette vulnérabilité n’a été signalée.

Mesures d’atténuation disponibles et informations encore manquantes

Aucune version corrigée ni aucun correctif spécifique n’ont été indiqués. Les administrateurs devraient donc :

• limiter l’exposition au réseau et empêcher l’accès direct à Internet ;
• isoler les systèmes et les appareils distants des réseaux d’entreprise au moyen de pare-feu ;
• utiliser des VPN à jour pour les accès distants, en évaluant également la sécurité des appareils connectés ;
• éviter d’ouvrir des pièces jointes DICOM reçues dans des messages inattendus ;
• mettre en place des contrôles contre le phishing et l’ingénierie sociale ;
• appliquer une segmentation, une défense en profondeur et une surveillance des actifs de santé ;
• analyser l’impact opérationnel avant d’apporter des modifications à l’infrastructure ;
• signaler toute activité suspecte conformément aux procédures de l’entreprise.

La vulnérabilité a été signalée à la CISA par banda, oriotie, ax123, jihyeon4725, lacroix et minzu.