CVE-2023-32653

Accusoft ImageGear: out-of-bounds write RCE w dekodowaniu DCM

CVSS 9.8v3.1pub. 2023-09-25upd. 2025-11-04

W bibliotece Accusoft ImageGear 20.1 istnieje podatność typu out-of-bounds write w funkcji odpowiedzialnej za dekodowanie danych pikselowych plików DCM (DICOM). Błąd umożliwia atakującemu zdalne wykonanie dowolnego kodu po otwarciu przez ofiarę złośliwie spreparowanego pliku.

▸ Pokaż oryginał (EN)

An out-of-bounds write vulnerability exists in the dcm_pixel_data_decode functionality of Accusoft ImageGear 20.1. A specially crafted malformed file can lead to arbitrary code execution. A victim would need to open a malicious file to trigger this vulnerability.

🤖 Analiza AI

Jak działa

Podatność wynika z nieprawidłowej obsługi danych wejściowych podczas dekodowania pikseli w formacie DCM — funkcja dcm_pixel_data_decode wykonuje operacje zapisu poza granicami przydzielonego bufora (CWE-787), poprzedzone błędem integer underflow (CWE-191). Atakujący musi dostarczyć ofierze specjalnie spreparowany, zniekształcony plik DCM. Gdy użytkownik otworzy taki plik przy użyciu aplikacji korzystającej z podatnej biblioteki, dochodzi do uszkodzenia pamięci, co może doprowadzić do wykonania kontrolowanego przez atakującego kodu.

Skutki

Pomyślne wykorzystanie podatności pozwala atakującemu na wykonanie dowolnego kodu (RCE) w kontekście procesu obsługującego plik, co może skutkować pełnym przejęciem kontroli nad systemem ofiary.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami. Dodatkowo zaleca się ograniczenie otwierania plików DCM pochodzących z niezaufanych źródeł oraz wdrożenie mechanizmów sandboxingu dla aplikacji przetwarzających pliki graficzne.