Identificadas vulnerabilidades críticas en el sistema dcm4chee-arc-light de J4Care

Una alerta de la Agencia de Ciberseguridad e Infraestructura (CISA) de EE. UU., publicada en cisa.gov, detalla seis vulnerabilidades de seguridad que impactan en la versión 5.35.1 del producto dcm4chee-arc-light de J4Care. Estos fallos, algunos de ellos con una severidad CVSS v3.1 CRITICAL de 9.1, afectan a la infraestructura de salud y pública a nivel global, según la alerta.

La explotación exitosa de estas vulnerabilidades podría permitir a un atacante eliminar imágenes médicas almacenadas, divulgar información de pacientes, inyectar estudios falsificados, reasignar registros de pacientes, sobrescribir archivos y provocar condiciones de denegación de servicio.

Entre las vulnerabilidades identificadas se encuentran:

• CVE-2026-97851: Una falta de autorización en el servicio REST de cambio de estado de almacenamiento permite la modificación de registros de ubicación asociados a instancias DICOM, lo que podría llevar a la eliminación de objetos de almacenamiento. Esta vulnerabilidad se ha calificado con una severidad CRITICAL (CVSS v3.1: 9.1).
• CVE-2026-107621 y CVE-2026-105273: Fallos de tipo ‘Loop with Unreachable Exit Condition’ (bucle infinito) en el analizador JPEGParser y en el analizador MP4Parser, respectivamente. Estos podrían ser explotados mediante flujos de datos especialmente manipulados o truncados, llevando a una denegación de servicio. Ambas vulnerabilidades tienen una severidad HIGH (CVSS v3.1: 7.5).
• CVE-2026-101021: Una complejidad algorítmica ineficiente en MultipartInputStream, que realiza un emparejamiento de límites deficiente y copias de búfer innecesarias, puede forzar comparaciones excesivas y copias repetidas con entradas multipart. Esta ha sido calificada como HIGH (CVSS v3.1: 7.5).
• CVE-2026-105279: Una falta de autenticación para funciones críticas en la configuración predeterminada permite que el archivo acepte asociaciones DICOM de un AE llamante no registrado. Esto posibilitaría la enumeración y recuperación de información de pacientes e imágenes médicas, así como el archivo de contenido de estudio fabricado bajo una identidad de paciente existente. Esta vulnerabilidad tiene una severidad CRITICAL (CVSS v3.1: 9.1).
• CVE-2026-105667: De manera similar, la configuración predeterminada del oyente HL7 acepta mensajes de fusión de pacientes ADT^A40 sin autenticación de la aplicación remitente, lo que podría permitir la reasignación de estudios y registros de flujo de trabajo relacionados de una identidad de paciente a otra. Esta tiene una severidad HIGH (CVSS v3.1: 7.5).

J4Care ha publicado una corrección para estas vulnerabilidades. Se recomienda a los usuarios implementar la versión 5.35.2 o posterior de dcm4chee-arc-light para mitigar los riesgos. Hasta la fecha, CISA no tiene conocimiento de explotación pública de estas vulnerabilidades.