CVE-2026-23009 – Injection d'images DICOM sur le réseau sans authentification

Code du programme (Python pydicom)

# dicom_server_sim.py - DICOM C-STORE SCP with no AE title check
from pynetdicom import AE, evt, AllStoragePresentationContexts

def handle_store(event):
    ds = event.dataset
    # No authentication, accepts any image from any remote
    ds.save_as(f"/tmp/{ds.SOPInstanceUID}.dcm")
    return 0x0000

handlers = [(evt.EVT_C_STORE, handle_store)]
ae = AE()
ae.supported_contexts = AllStoragePresentationContexts
ae.start_server(('', 11112), evt_handlers=handlers)

CVE-2026-23009 – Injection d'images DICOM sur le réseau sans authentification

Aperçu

Un serveur d'imagerie médicale (PACS) accepte les images DICOM de n'importe quel hôte distant sans authentification. Un attaquant sur le réseau hospitalier peut injecter des images falsifiées contenant des données de pixels malveillantes ou des informations patient, entraînant des erreurs de diagnostic ou la compromission des systèmes en aval.

Détails de la vulnérabilité

• Type : Contrôle d'accès insuffisant
• Impact : Échec de l'intégrité des données, risque pour la sécurité des patients.
• Cause racine : Le SCP C‑STORE DICOM n'applique pas l'authentification ni la vérification du titre de l'entité applicative émettrice.

Démonstration de l'exploit

1. Démarrez le serveur DICOM vulnérable :
   root@kitploit:~

   pip install pynetdicom
   python dicom_server_sim.py
   

2. Injectez une image malveillante :
   root@kitploit:~

   python exploit_dicom_inject.py
   

Le fichier apparaît dans /tmp.