آسیب‌پذیری CVE-2026-87020 در Orthanc DICOM Server — احتمال DoS هنگام پردازش تصاویر PNG/JPEG

اطلاعات زیر بر اساس اطلاعیه «CISA Cybersecurity Advisories» بازنویسی و خلاصه شده است. منبع اصلی: CISA.

شرح آسیب‌پذیری
- شناسه: CVE-2026-87020
- محصول آسیب‌پذیر: Orthanc DICOM Server <1.13.0
- ماهیت: یک سرریز/overflow عدد صحیح در محاسبه مربوط به pitch و اندازه بافر که هنگام رمزگشایی تصویرِ PNG (و اشاره شده به JPEG) منجر به نوشتن خارج از محدودهٔ heap می‌شود. نتیجهٔ این نوشتن می‌تواند کرش فرایند Orthanc و ایجاد وضعیت انکار سرویس (DoS) باشد.
- دسترسی لازم: اطلاعیه CISA ذکر می‌کند حمله‌گر باید احراز هویت شده باشد (محدودهٔ امتیاز CVSS نیز PR:L را نشان می‌دهد).

شدت و شاخص‌ها
- CVSS v3.1: 8.1 (HIGH) — CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:H/A:H
- CVSS v4.0: 7.2 (HIGH) — CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:N/VI:H/VA:H/SC:N/SI:N/SA:N
- بخش‌های زیرساخت حیاتی متاثر: Healthcare and Public Health
- حوزهٔ جغرافیایی: استقرار جهانی
- گزارشگر: Andrej Tomci (طبق اطلاعیه CISA)
- گزارشِ بهره‌برداری عمومی: تا زمان انتشار اطلاعیه، CISA هیچ گزارش بهره‌برداری عمومی خاصی برای این آسیب‌پذیری گزارش نکرده است.

تعمیر و کاهش خسارت
- توصیهٔ رسمی فروشنده (Orthanc): بروزرسانی به v1.13.0. (صفحهٔ دانلود: https://orthanc.uclouvain.be/downloads/index.html)
- توصیه‌های عمومی CISA (خلاصه): کاهش قرارگیری در معرض شبکه (عدم دسترسی مستقیم از اینترنت)، قرار دادن سرویس‌ها پشت فایروال و جداسازی شبکه‌های کنترل/پزشکی از شبکه‌های اداری، استفاده از دسترسی‌های راه دور امن (مثلاً VPN به‌شرط به‌روزبودن)، تحلیل ریسک و اعمال دفاعِ عمقی.

خلاصهٔ تحلیلی (مستقل از منبع)
- بردار حمله و اثر: آسیب‌پذیری ناشی از overflow عدد صحیح در محاسبات بافر است؛ به‌دلیل امکان نوشتن خارج از محدودهٔ heap، اثر مشخص و محتمل آن کرش سرویس و DoS است. از آنجا که به احراز هویت نیاز است، احتمال بهره‌برداری از طریق حساب‌های کاربری داخلی یا سرویس‌هایی است که امکان بارگذاری تصاویر را دارند.
- ریسک برای بخش سلامت: Orthanc در محیط‌های تصویربرداری پزشکی استفاده می‌شود؛ قطع سرویس یا کرش می‌تواند در گردش کاری کلینیکی اختلال ایجاد کند. با توجه به استقرار جهانی و اهمیت دسترسی به تصاویر پزشکی، اولویتِ به‌روزرسانی و محدودسازی دسترسی بالاست.
- اولویت‌های فوری برای مدیران: 1) بلافاصله برنامه‌ریزی و اعمال بروزرسانی به v1.13.0؛ 2) در صورت عدم امکان آنیِ بروزرسانی، محدود کردن امکان بارگذاری فایل/تصویر فقط به منابع معتبر و یا فیلتر کردن انواع ورودی‌های تصویری؛ 3) جدا سازی و ایزوله کردن سرور Orthanc از اینترنت و شبکه‌های غیرضروری؛ 4) نظارت بر لاگ‌ها و سلامت فرایند Orthanc برای شناسایی کرش‌های ناگهانی یا رفتار نامعمول.
- اقدامات دفاعی تکمیلی: پیاده‌سازی کنترل‌های دسترسی دقیق، بررسی و سخت‌سازی حساب‌های کاربری که قابلیت آپلود دارند، به‌کارگیری مکانیزم‌های تشخیص نفوذ/نظارت بر فایل و سیاست‌های مدیریت Vulnerability/Patch برای کاهش پنجرهٔ تهدید.

محدودیت‌ها
- این بازنویسی بر اساس متن اطلاعیه CISA انجام شده و جزئیات فنی فراتر (کد اکسپلویت یا نمونهٔ عمیق از نحوه بهره‌برداری) در اطلاعیه وجود نداشت؛ بنابراین توصیه‌ها بر پایهٔ اثرات گزارش‌شده و بهترین شیوه‌های امنیتی عمومی است.