CVE-2026-23009 – Inyección de imágenes DICOM en la red sin autenticación

Código del programa (Python pydicom)

# dicom_server_sim.py - DICOM C-STORE SCP with no AE title check
from pynetdicom import AE, evt, AllStoragePresentationContexts

def handle_store(event):
    ds = event.dataset
    # No authentication, accepts any image from any remote
    ds.save_as(f"/tmp/{ds.SOPInstanceUID}.dcm")
    return 0x0000

handlers = [(evt.EVT_C_STORE, handle_store)]
ae = AE()
ae.supported_contexts = AllStoragePresentationContexts
ae.start_server(('', 11112), evt_handlers=handlers)

CVE-2026-23009 – Inyección de imágenes DICOM en la red sin autenticación

Descripción general

Un servidor de imágenes médicas (PACS) acepta imágenes DICOM de cualquier host remoto sin autenticación. Un atacante en la red del hospital puede inyectar imágenes fabricadas que contengan datos de píxeles maliciosos o información de pacientes, lo que puede provocar diagnósticos erróneos o el compromiso de sistemas posteriores.

Detalles de la vulnerabilidad

• Tipo: Control de acceso insuficiente
• Impacto: Fallo de integridad de datos, riesgo para la seguridad del paciente.
• Causa raíz: El SCP DICOM C‑STORE no aplica autenticación ni verifica el Título de Entidad de Aplicación (AE Title) del remitente.

Demostración del exploit

1. Inicie el servidor DICOM vulnerable:
   root@kitploit:~

   pip install pynetdicom
   python dicom_server_sim.py
   

2. Inyecte una imagen maliciosa:
   root@kitploit:~

   python exploit_dicom_inject.py
   

El archivo aparece en /tmp.