CVE-2019-11687

NEMA DICOM Standard 1995 ile 2019b arasındaki ve mevcut uygulamalarda devam eden DICOM Part 10 Dosya Formatı'nda bir sorun keşfedilmiştir. Bu spesifikasyona uygun bir DICOM dosyasının 128 baytlık başlangıç kısmı (preamble), Windows için Portable Executable (PE) dosyaları ve Linux tabanlı sistemler için Executable and Linkable Format (ELF) dosyaları dahil olmak üzere birden fazla işletim sistemi için rastgele yürütülebilir üstbilgiler içerebilir. Çift amaçlı dosyalar oluşturulabilmesi için bu alan belirsiz bırakılmıştır; örneğin, tıptaki dijital tüm slayt görüntüleme uygulamalarında çift amaçlı TIFF/DICOM dosyaları kullanılmaktadır. Kötü niyetli DICOM dosyalarının tıbbi cihazlar ve hastane sistemleri arasında rutin olarak paylaşılması ve hasta bakım koordinasyonu için çıkarılabilir medya aracılığıyla taşınması nedeniyle, bu tasarım kusuru sistem genelinde ele geçirmeye olanak tanır. Bu zafiyeti istismar etmek için birinin kötü niyetle hazırlanmış dosyayı çalıştırması gerekir. Bu dosyalar .dcm dosya uzantısına sahip olsalar bile yürütülebilir olabilirler. Sağlık kuruluşlarındaki anti-malware yapılandırmaları genellikle tıbbi görüntülemeleri yoksayar. DICOM dosyaları korumalı sağlık bilgilerini işleyen sistemlerde bulunur ve başarılı bir istismar, HIPAA ve FDA satış sonrası yükümlülükleri gibi düzenleyici uyumluluk gereksinimlerinin ihlaliyle sonuçlanabilir.