OFFIS DCMTK Toolkit'te Kritik Güvenlik Açıkları

Almanya merkezli OFFIS şirketine ait DCMTK Toolkit'in belirli sürümlerinde kritik güvenlik açıkları keşfedildi. Bu açıkların başarılı bir şekilde kullanılabilmesi durumunda, saldırganlar dosyaları yazabilir, yetkisiz bilgiye erişebilir, belleği tüketebilir veya etkilenen DCMTK istemci veya sunucu işlemlerinin çökmesine neden olabilir.

Etkilenen sürümler DCMTK <=3.7.0 olarak belirlendi ve bu sürümlerde CVE-2026-50003, CVE-2026-50254, CVE-2026-35505, CVE-2026-52868 ve CVE-2026-44628 gibi güvenlik açıkları bulundu. Bu açıklar, 'Path Traversal' (yol gezintisi), belleğin etkili ömrü sonrasında serbest bırakılmaması ve uyumsuz türlerin kullanılması gibi sorunlara neden olabilir.

Güvenlik açıklarından biri, bir saldırganın DCMTK istemcisini, bit-preserving C-GET depolama modunda, seçilen çıktı dizininin dışında dosyalar yazması için kullanabilmesini sağlar. Bir diğer açıklar ise, bir saldırganın tek bir crafted bağlantı isteğini tekrar tekrar göndererek belleği sızdırabilmesini sağlar.

OFFIS şirketi, bu güvenlik açıklarını gidermek için bir düzeltme sağladı ve bu düzeltme en son GitHub sürümünde bulunabilir. Kullanıcıların, en son GitHub sürümünü indirerek bu güvenlik açıklarından etkilenmesini önlemek için önerilerde bulunuldu.