OS Command Injection durch Platzhalter-Substitution

Die Flags --exec-on-reception und --exec-on-eostudy konfigurieren storescp zur Ausführung eines Shell-Befehls beim Empfang eines DICOM-Objekts. Platzhalter-Token im Befehlsstring werden mit Werten aus der eingehenden DICOM-Assoziation ersetzt und an /bin/sh -c übergeben.

Drei Platzhalter-Token akzeptieren vom Angreifer kontrollierte Eingaben: #f (Dateiname, abgeleitet von der SOP Instance UID), #p (Pfad, abgeleitet von der Study Instance UID bei Verwendung von --sort-on-study-uid) und #r (Reverse-DNS-Hostname des Aufrufers).

Die Platzhalter #f und #p werden durch sanitizeFilename() verarbeitet, die Pfadtrennzeichen ersetzt:

void OFStandard::sanitizeFilename(OFString& fname)
{
    const size_t len = fname.length();
    for (size_t i = 0; i < len; ++i)
    {
        if (fname[i] == PATH_SEPARATOR) fname[i] = '_';
    }
}

Shell-Metazeichen wie Semikolons, Pipes, Backticks und Dollarzeichen werden von dieser Bereinigung nicht erfasst. Der zusammengesetzte Befehl wird anschließend an die Shell übergeben:

execl("/bin/sh", "/bin/sh", "-c", cmd.c_str(),
      OFreinterpret_cast(char *, 0));

Der Platzhalter #r (Reverse-DNS-Hostname) wird vor der Substitution nicht bereinigt. Ein Angreifer, der den PTR-Record seiner IP-Adresse kontrolliert, kann über den aufgelösten Hostnamen Shell-Metazeichen einschleusen.

Im Februar 2024 erhielten die Platzhalter #a und #c (AE-Title-Token) eine Allowlist-basierte Bereinigung über sanitizeAETitle() (Issue #1109). Die Platzhalter #f, #p und #r waren in dieser Änderung nicht enthalten.

DICOM-UID-Felder haben eine maximale Länge von 64 Zeichen und Leerzeichen werden durch den Parser entfernt. Diese Einschränkungen begrenzen die Payload-Länge, können aber durch Shell-Parameterexpansion umgangen werden.

Hinweis: VulDB führt diese Schwachstelle derzeit mit CVSS 7.3 (C:L/I:L/A:L). Wir sind der Auffassung, dass die Impact-Metriken angesichts der bestätigten Codeausführung C:H/I:H/A:H betragen sollten, und haben VulDB bezüglich der Bewertung kontaktiert.