Una vulnerabilità di Orthanc DICOM Server consente agli attaccanti autenticati di corrompere la memoria heap

Una vulnerabilità ad alta gravità in Orthanc DICOM Server può consentire a un attaccante remoto autenticato di provocare una scrittura oltre i limiti nell'heap inviando un'immagine malevola. La conseguente corruzione della memoria può causare l'arresto anomalo del processo server e interrompere l'accesso ai servizi che supportano i flussi di lavoro di diagnostica per immagini.

CISA ha divulgato il problema in un ICS Medical Advisory pubblicato il 10 settembre 2026. La vulnerabilità, identificata come CVE-2026-87020, riguarda le versioni di Orthanc DICOM Server precedenti alla 1.13.0.

Quando CISA ha pubblicato il proprio avviso, non erano state segnalate campagne di sfruttamento pubblico mirate specificamente alla vulnerabilità. Non sono stati identificati attori della minaccia, campagne, organizzazioni vittima o indicatori di compromissione associati.

Sono interessate le versioni di Orthanc precedenti alla 1.13.0

CVE-2026-87020 riguarda le release di Orthanc DICOM Server precedenti alla versione 1.13.0. Il prodotto interessato è utilizzato in tutto il mondo nel settore Healthcare and Public Health, rendendo la disponibilità un aspetto operativo rilevante anche quando la riservatezza non è direttamente compromessa.

Le organizzazioni dovrebbero censire le proprie installazioni di Orthanc e individuare ogni istanza che esegue una release precedente alla 1.13.0. La verifica dovrebbe includere i sistemi raggiungibili solo tramite reti interne o infrastrutture di accesso remoto, non soltanto le installazioni esposte pubblicamente.

Il limite di versione indicato nella documentazione pubblicata mostra che il passaggio alla versione 1.13.0 o successiva rimuove il server dall'intervallo delle versioni note come vulnerabili. Gli amministratori dovrebbero seguire le procedure di rilascio e convalida di Orthanc, invece di trattare l'aggiornamento come una semplice sostituzione del pacchetto, priva di considerazioni sul contesto.

Questa convalida è importante negli ambienti clinici. Le modifiche che interessano l'acquisizione, l'elaborazione, l'archiviazione o l'integrazione DICOM potrebbero dover essere testate sui sistemi collegati prima della distribuzione in produzione.

L'overflow di intero porta a un buffer heap sottodimensionato

La debolezza alla base del problema è un overflow o wraparound di intero, classificato come CWE-190. Si verifica mentre Orthanc calcola il pitch dell'immagine e la dimensione del buffer di memoria necessario durante la decodifica.

Un attacco segue questa sequenza:

1. Un attaccante autenticato invia un'immagine le cui dimensioni o proprietà correlate influenzano i calcoli del decoder.
2. Orthanc calcola il pitch dell'immagine e la dimensione del buffer necessaria.
3. Il calcolo va in overflow, producendo una dimensione o un valore dei limiti errato.
4. L'applicazione alloca una quantità insufficiente di memoria heap oppure utilizza limiti non validi.
5. La decodifica scrive oltre i limiti del buffer allocato.

Le descrizioni tecniche confermate identificano nello specifico file PNG controllati dall'attaccante. Anche il riepilogo di CISA menziona input PNG o JPEG, ma la scheda dettagliata di CISA e la descrizione di NVD indicano entrambe la decodifica PNG. Di conseguenza, il formato d'attacco chiaramente corroborato è PNG; JPEG compare soltanto nel riepilogo più ampio di CISA.

Una scrittura oltre i limiti nell'heap è un problema di sicurezza della memoria, non una semplice gestione di input non valido. I dati vengono scritti al di fuori dell'area riservata all'immagine, con il potenziale di corrompere il contenuto adiacente dell'heap e compromettere la stabilità del processo Orthanc.

L'esito documentato è un arresto anomalo e una condizione di denial of service. Sebbene la valutazione assegni un impatto elevato sull'integrità, le informazioni disponibili non dimostrano l'esecuzione di codice da remoto e gli amministratori non dovrebbero presumere che un simile esito sia stato dimostrato. Analogamente, non è stato assegnato alcun impatto sulla riservatezza.

Lo sfruttamento richiede una sessione autenticata valida

La vulnerabilità è raggiungibile tramite rete, richiede una bassa complessità dell'attacco e non dipende dall'interazione dell'utente. Tuttavia, l'attaccante deve disporre di privilegi di basso livello sul servizio Orthanc.

Questo requisito di autenticazione restringe la superficie d'attacco, ma non rende il problema innocuo. Credenziali sottratte, account di servizio compromessi, integrazioni con autorizzazioni eccessive o un altro punto d'appoggio all'interno di una rete sanitaria potrebbero fornire l'accesso necessario per inviare l'immagine malevola.

Il punteggio base CVSS 3.1 è 8,1, con gravità High, e il vettore è:

CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:H/A:H

CISA assegna inoltre un punteggio CVSS 4.0 pari a 7,2, anch'esso con gravità High:

CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:N/VI:H/VA:H/SC:N/SI:N/SA:N

Entrambe le valutazioni descrivono un attacco accessibile tramite rete, che richiede privilegi ridotti, bassa complessità e nessuna azione da parte di un altro utente. L'impatto sulla sicurezza resta confinato all'autorità del sistema vulnerabile. La riservatezza è considerata non interessata, mentre integrità e disponibilità sono valutate High.

Il rischio pratico riguarda soprattutto l'interruzione del servizio e la corruzione della memoria. Se il processo Orthanc termina mentre supporta flussi di lavoro operativi di diagnostica per immagini, gli utenti potrebbero perdere l'accesso fino al riavvio del servizio e alla rimozione o all'isolamento dell'input malevolo.

Nessuno sfruttamento pubblico né una scadenza KEV sono stati segnalati

Andrej Tomci ha segnalato CVE-2026-87020 a CISA. Al momento della pubblicazione dell'avviso, l'agenzia ha dichiarato di non aver ricevuto segnalazioni di sfruttamento pubblico noto mirato specificamente alla vulnerabilità.

Non ci sono prove che colleghino attualmente il problema ad attività di ransomware o a una campagna di intrusione più ampia. Non sono inoltre disponibili indicatori pubblicati che i difensori possano utilizzare per identificare un payload di exploit noto, un'infrastruttura riconducibile a un cluster o uno strumento dell'attaccante.

Le informazioni disponibili non dimostrano che CVE-2026-87020 sia stata aggiunta al catalogo Known Exploited Vulnerabilities di CISA. Non è stata indicata alcuna scadenza KEV per la correzione. Le organizzazioni dovrebbero quindi distinguere questa vulnerabilità da quelle per cui è stato confermato lo sfruttamento, continuando tuttavia a prendere sul serio la raggiungibilità tramite rete e l'elevato impatto sulla disponibilità.

L'assenza dalle informazioni KEV fornite non dimostra che lo sfruttamento sia impossibile. Significa che non è stato indicato alcuno stato KEV né alcuna scadenza federale obbligatoria associata a questa divulgazione.

Aggiornare il software, ridurre l'esposizione e monitorare gli errori nell'elaborazione delle immagini

La correzione principale consiste nell'aggiornare ogni istanza di Orthanc DICOM Server che esegue una versione precedente alla 1.13.0. Prima di procedere, gli amministratori dovrebbero mappare le dipendenze e testare la release scelta rispetto ai requisiti clinici e tecnici dell'organizzazione.

La riduzione dell'esposizione offre un'ulteriore misura di protezione. I server Orthanc e le reti associate ai dispositivi medicali dovrebbero rimanere fuori da Internet pubblica, ove possibile. I firewall dovrebbero limitare l'accesso ai sistemi e agli utenti necessari, mentre la segmentazione dovrebbe separare gli ambienti sanitari o dei sistemi di controllo dalle normali reti aziendali.

Quando la connettività remota è necessaria, le organizzazioni dovrebbero utilizzare canali di accesso remoto protetti, come le VPN. Il software VPN deve essere mantenuto aggiornato, ma gli amministratori dovrebbero valutare anche gli endpoint che vi si connettono. Un tunnel protetto non compensa una workstation remota compromessa o credenziali Orthanc sottratte.

I difensori possono adottare subito diverse misure:

• Individuare le installazioni di Orthanc DICOM Server e registrare le versioni esatte.
• Dare priorità all'aggiornamento di ogni release precedente alla 1.13.0.
• Verificare quali account e integrazioni possono caricare o inviare immagini.
• Limitare i percorsi di rete verso il server alle sole origini esplicitamente autorizzate.
• Cercare nei log invii di immagini autenticati insoliti e ripetuti errori del decoder.
• Analizzare gli arresti anomali, i riavvii o le interruzioni delle risorse di Orthanc privi di spiegazione.
• Conservare i file PNG sospetti per un'analisi controllata, evitando di riaprirli tramite i servizi di produzione.
• Applicare le procedure interne di risposta agli incidenti se vengono rilevate attività sospette.

Non sono disponibili indicatori di compromissione specifici della vulnerabilità. Il monitoraggio deve quindi concentrarsi sui comportamenti: acquisizione insolita di immagini, anomalie di autenticazione, errori del decoder e arresti anomali del processo ravvicinati nel tempo.

Le organizzazioni dovrebbero eseguire una valutazione dell'impatto e del rischio prima di modificare i controlli di rete o il software di produzione. La difesa in profondità è particolarmente importante quando gli aggiornamenti immediati sono limitati dai test di compatibilità o dai requisiti di disponibilità clinica, ma segmentazione e monitoraggio non dovrebbero diventare un sostituto del superamento dell'intervallo di versioni interessate.