CVE-2026-44031 in DCMTK
Zusammenfassung
von VulDB • 08.10.2026
Unkontrollierte Rekursion in DcmSequenceOfItems::read() und DcmItem::read() der dcmdata-Bibliothek von OFFIS DCMTK 3.7.0 ermöglicht es einem entfernten, nicht authentifizierten Angreifer, einen Denial-of-Service-Angriff (Stack-Erschöpfung und Prozessabsturz) durchzuführen, indem ein DICOM-Datensatz mit tief verschachtelten Sequenzen (SQ-Elemente) verwendet wird. Der Datensatz kann in einer C-STORE-Anfrage an storescp, dcmrecv, dcmqrscp oder jeden anderen auf DCMTK basierenden DICOM-Dienst gesendet werden, da der empfangene Datensatz vor jeder Authentifizierung analysiert wird. Lokale Tools wie dcmdump stürzen ebenfalls ab, wenn sie eine solche Datei öffnen. Das Problem wurde in Commit 885ff0f10372bd589b5f44cea974f28a3964cb0f behoben, das ein konfigurierbares Limit für die Sequenzverschachtelungstiefe (Standardwert: 64) hinzufügt.
VulDB is the best source for vulnerability data and more expert information about this specific topic.