pydicom heeft een padtraversaal in FileSet/DICOMDIR ReferencedFileID die bestandstoegang buiten de File-set root mogelijk maakt

De impact van deze Path Traversal kwetsbaarheid is significant. Een aanvaller kan, door een kwaadwillende DICOMDIR te leveren, paden buiten de File-set root benaderen. Dit betekent dat ze in staat zijn om willekeurige bestanden op het systeem te lezen, te kopiëren en mogelijk te verwijderen, afhankelijk van de configuratie en de gebruikte functies (copy(), write(), remove()+write()). De ernst van de impact hangt af van de gevoeligheid van de bestanden die zich buiten de File-set root bevinden en de privileges van de pydicom processen. Dit kan leiden tot data-exfiltratie, integriteitsverlies en potentieel tot het compromitteren van het hele systeem, vooral in omgevingen waar pydicom wordt gebruikt voor het verwerken van medische beelden met gevoelige patiëntgegevens.

Systems utilizing pydicom for DICOM file processing, particularly those handling patient data or medical imaging archives, are at risk. Applications that dynamically construct file paths based on user-supplied data or external inputs are especially vulnerable. Environments with limited access controls or inadequate input validation practices face a higher risk of exploitation.

• python / library:

import os
import pydicom

def check_file_path(dicom_dir_path, file_set_root):
    try:
        ds = pydicom.dcmread(dicom_dir_path)
        referenced_file_id = ds.ReferencedFileID.value
        resolved_path = os.path.join(file_set_root, referenced_file_id)
        if not resolved_path.startswith(file_set_root):
            print(f"Potential Path Traversal: Resolved path {resolved_path} is outside the File-set root.")
        else:
            print("Path is within the File-set root.")
    except Exception as e:
        print(f"Error processing DICOMDIR: {e}")

# Example usage (replace with actual paths)
file_set_root = "/path/to/fileset"
dicom_dir_path = "/path/to/malicious_dicomdir.xml"
check_file_path(dicom_dir_path, file_set_root)

1. 2026-03-20Discovery

   disclosure

1. Gereserveerd2026-03-13
2. Gepubliceerd2026-03-20
3. EPSS bijgewerkt2026-03-27

De primaire mitigatie voor CVE-2026-32711 is het updaten van de pydicom bibliotheek naar versie 3.0.2 of hoger. Indien een directe upgrade niet mogelijk is, overweeg dan tijdelijke maatregelen zoals het beperken van de toegang tot de File-set root via bestandsysteemrechten. Implementeer strenge validatie van alle inkomende DICOMDIR bestanden om te voorkomen dat paden buiten de toegestane root worden ingesteld. Het monitoren van logbestanden op ongebruikelijke bestandstoegangsactiviteiten buiten de File-set root kan ook helpen bij het detecteren van pogingen tot exploitatie. Na de upgrade, controleer of de pydicom processen nog steeds correct functioneren en geen onverwachte fouten vertonen.