Une faille du serveur DICOM Orthanc permet à des attaquants authentifiés de corrompre la mémoire du tas

Une vulnérabilité de gravité élevée dans Orthanc DICOM Server peut permettre à un attaquant distant et authentifié de déclencher une écriture hors limites dans la mémoire du tas en envoyant une image malveillante. La corruption mémoire qui en résulte peut provoquer l’arrêt du processus serveur et interrompre l’accès aux services qui prennent en charge les flux de travail d’imagerie médicale.

La CISA a divulgué le problème dans un avis ICS Medical publié le 10 septembre 2026. La vulnérabilité, référencée sous l’identifiant CVE-2026-87020, concerne les versions d’Orthanc DICOM Server antérieures à 1.13.0.

Aucun cas d’exploitation publique visant spécifiquement cette faille n’avait été signalé lorsque la CISA a publié son avis. Aucun acteur malveillant, campagne, organisation victime ou indicateur de compromission associé n’a été identifié.

Les versions antérieures à Orthanc 1.13.0 sont concernées

CVE-2026-87020 concerne les versions d’Orthanc DICOM Server antérieures à 1.13.0. Le produit concerné est déployé dans le monde entier dans le secteur de la santé et de la santé publique, ce qui fait de sa disponibilité un enjeu opérationnel majeur, même lorsque la confidentialité n’est pas directement affectée.

Les organisations doivent recenser leurs installations Orthanc et identifier chaque instance exécutant une version antérieure à 1.13.0. Cette vérification doit inclure les systèmes accessibles uniquement via des réseaux internes ou une infrastructure d’accès distant, et pas seulement les déploiements exposés sur Internet.

La limite de version publiée indique le passage à la version 1.13.0 ou à une version ultérieure permet de sortir du périmètre des versions connues comme vulnérables. Les administrateurs doivent suivre les procédures de mise à jour et de validation d’Orthanc plutôt que de considérer cette opération comme un simple remplacement de paquet, indépendant du contexte.

Cette validation est particulièrement importante dans les environnements cliniques. Les changements qui affectent l’ingestion, le traitement, le stockage ou l’intégration DICOM peuvent devoir être testés avec les systèmes connectés avant leur déploiement en production.

Un dépassement d’entier entraîne la création d’un tampon de tas trop petit

La faiblesse sous-jacente est un dépassement ou un bouclage d’entier, classé CWE-190. Elle se produit lorsqu’Orthanc calcule le pas d’une image et la taille du tampon mémoire nécessaire au décodage.

L’attaque suit la séquence suivante :

1. Un attaquant authentifié envoie une image dont les dimensions ou d’autres propriétés influencent les calculs du décodeur.
2. Orthanc calcule le pas de l’image et la taille du tampon nécessaire.
3. Le calcul déborde, ce qui produit une taille ou une valeur de limite incorrecte.
4. L’application alloue une quantité insuffisante de mémoire sur le tas ou s’appuie sur des limites invalides.
5. Le décodage écrit au-delà du tampon alloué.

Les descriptions techniques confirmées identifient spécifiquement des fichiers PNG contrôlés par l’attaquant. Le résumé de la CISA mentionne également des entrées PNG ou JPEG, mais l’entrée détaillée de la CISA et la description du NVD citent toutes deux le décodage PNG. Le format d’attaque clairement corroboré est donc le PNG ; le JPEG n’apparaît que dans le résumé plus général de la CISA.

Une écriture hors limites dans la mémoire du tas constitue un problème de sécurité mémoire, et pas seulement un cas de rejet d’une entrée malformée. Des données sont écrites en dehors de la zone réservée à l’image, ce qui peut corrompre le contenu adjacent du tas et déstabiliser le processus Orthanc.

Le résultat documenté est un plantage et un déni de service. Bien que la notation attribue un impact élevé sur l’intégrité, les informations disponibles n’établissent pas l’existence d’une exécution de code à distance, et les administrateurs ne doivent pas supposer qu’un tel scénario a été démontré. De même, aucun impact sur la confidentialité n’est attribué.

L’exploitation nécessite une session authentifiée valide

La vulnérabilité est accessible via le réseau, présente une faible complexité d’attaque et ne nécessite aucune interaction de l’utilisateur. Cependant, l’attaquant doit disposer de privilèges de bas niveau sur le service Orthanc.

Cette exigence d’authentification réduit la surface d’attaque, mais ne rend pas le problème inoffensif. Des identifiants volés, des comptes de service compromis, des intégrations trop permissives ou un autre point d’appui au sein d’un réseau de santé pourraient fournir l’accès nécessaire pour envoyer l’image malveillante.

Le score de base CVSS 3.1 est de 8,1, avec une sévérité élevée, selon le vecteur suivant :

CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:H/A:H

La CISA fournit également un score CVSS 4.0 de 7,2, lui aussi associé à une sévérité élevée :

CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:N/VI:H/VA:H/SC:N/SI:N/SA:N

Les deux évaluations décrivent une attaque accessible via le réseau, nécessitant de faibles privilèges et une faible complexité, sans action de la part d’un autre utilisateur. L’impact de sécurité reste circonscrit au périmètre d’autorité du système vulnérable. La confidentialité est considérée comme non affectée, tandis que l’intégrité et la disponibilité sont évaluées à un niveau élevé.

Le risque pratique se concentre sur l’interruption du service et la corruption mémoire. Si le processus Orthanc s’arrête alors qu’il prend en charge des flux de travail opérationnels d’imagerie, les utilisateurs peuvent perdre l’accès au service jusqu’à son redémarrage et jusqu’à la suppression ou l’isolement de l’entrée malveillante.

Aucune exploitation publique ni échéance KEV n’a été signalée

Andrej Tomci a signalé CVE-2026-87020 à la CISA. Au moment de la publication de l’avis, l’agence indiquait n’avoir reçu aucun signalement d’exploitation publique connue visant spécifiquement la vulnérabilité.

Aucun élément ne relie actuellement cette faille à une activité de ransomware ou à une campagne d’intrusion plus vaste. Aucun indicateur publié ne permet non plus aux défenseurs d’identifier une charge utile d’exploitation connue, une infrastructure associée ou un outil d’attaquant.

Les informations disponibles n’établissent pas que CVE-2026-87020 a été ajoutée au catalogue des vulnérabilités exploitées connues de la CISA. Aucune échéance de correction KEV n’a été communiquée. Les organisations doivent donc distinguer cette faille des vulnérabilités dont l’exploitation est confirmée, tout en prenant au sérieux son accessibilité via le réseau et son impact élevé sur la disponibilité.

L’absence des informations KEV fournies ne signifie pas que l’exploitation est impossible. Elle indique qu’aucun statut KEV ni aucune échéance fédérale obligatoire n’est mentionné dans le cadre de cette divulgation.

Mettre à jour, réduire l’exposition et surveiller les défaillances du traitement des images

La principale mesure corrective consiste à mettre à jour chaque instance d’Orthanc DICOM Server exécutant une version antérieure à 1.13.0. Les administrateurs doivent d’abord cartographier les dépendances et tester la version retenue au regard de leurs exigences cliniques et techniques.

La réduction de l’exposition constitue une mesure de protection supplémentaire. Les serveurs Orthanc et les réseaux associés aux dispositifs médicaux doivent rester hors de l’Internet public chaque fois que possible. Les pare-feu doivent limiter les accès aux systèmes et aux utilisateurs nécessaires, tandis que la segmentation doit séparer les environnements de santé ou de contrôle industriel des réseaux bureautiques classiques.

Lorsque la connectivité distante est nécessaire, les organisations doivent utiliser des canaux d’accès distant sécurisés, tels que les VPN. Les logiciels VPN doivent être maintenus à jour, mais les administrateurs doivent également évaluer les terminaux qui s’y connectent. Un tunnel protégé ne compense pas la compromission d’un poste de travail distant ni le vol d’identifiants Orthanc.

Les défenseurs peuvent prendre immédiatement plusieurs mesures :

• Localiser les installations d’Orthanc DICOM Server et consigner leurs versions exactes.
• Donner la priorité à la mise à jour de toutes les versions antérieures à 1.13.0.
• Vérifier quels comptes et quelles intégrations peuvent téléverser ou envoyer des images.
• Restreindre les chemins réseau vers le serveur aux sources explicitement autorisées.
• Rechercher dans les journaux les envois d’images authentifiés inhabituels et les échecs répétés du décodeur.
• Examiner les plantages, redémarrages ou interruptions de ressources inexpliqués d’Orthanc.
• Conserver les fichiers PNG suspects pour une analyse contrôlée plutôt que de les rouvrir via les services de production.
• Appliquer les procédures internes de réponse aux incidents en cas d’activité suspecte.

Aucun indicateur de compromission propre à cette vulnérabilité n’est disponible. La surveillance doit donc se concentrer sur les comportements : ingestion inhabituelle d’images, anomalies d’authentification, erreurs du décodeur et plantages de processus survenant dans un intervalle rapproché.

Les organisations doivent réaliser une évaluation de l’impact et des risques avant de modifier les contrôles réseau ou les logiciels de production. La défense en profondeur est particulièrement pertinente lorsque des contraintes de compatibilité ou de disponibilité clinique empêchent une mise à jour immédiate, mais la segmentation et la surveillance ne doivent pas se substituer à la sortie de la plage de versions concernées.