事件主旨:
Orthanc DICOM Server存在漏洞
內容說明:
CISA發布ICSMA-26-253-02 Orthanc DICOM Server，重要內容如下：
摘要
成功利用此漏洞可能允許經過身份驗證的遠端攻擊者在 Orthanc 解碼攻擊者提供的 PNG 或 JPEG 影像時寫入堆積（heap）分配的末尾，從而導致 Orthanc 程序崩潰和拒絕服務的情況。
以下版本的 Orthanc DICOM Server會受到影響：
Orthanc DICOM Server <1.13.0。 （CVE-2026-87020）
CVSS：v3 8.1
供應商：Orthanc
裝置：Orthanc DICOM Server
漏洞：整數溢位或迴繞（Integer Overflow or Wraparound）
漏洞細節：
CVE-2026-87020
在指定步幅（pitch）和緩衝區大小的計算中發生整數溢位時，Orthanc 在解碼攻擊者提供的 PNG 時會導致堆積（heap）越界寫入（out-of-bounds write）。
相關 CWE： CWE-190 整數溢位或迴繞（Integer Overflow or Wraparound）
目前尚未有針對此漏洞的公開利用案例報告給CISA。
其他詳細資訊可參閱原始通報：
https://www.cisa.gov/news-events/ics-medical-advisories/icsma-26-253-02
風險等級:
3
建議措施:
Orthanc建議使用者更新至 v1.13.0 版本。 https://orthanc.uclouvain.be/downloads/index.html
CISA建議使用者採取防禦措施，以最大程度地降低此漏洞被利用的風險。
最大限度地減少所有控制系統設備和/或系統的網路暴露，確保它們無法從網路存取。
將控制系統網路和遠端設備置於防火牆之後，並將其與業務網路隔離。
當需要遠端存取時，請使用更安全的方法，例如虛擬私人網路 (VPN)。但請注意，VPN 可能存在漏洞，應更新至最新版本。此外，VPN 的安全性取決於所連接裝置的安全性。
CISA提醒各組織在部署防禦措施之前，進行適當的影響分析和風險評估。