PT-2024-22280 · Offis+5 · Dcmtk+5

Emmanuel Tacheau · Publicado 2024-03-14 · Atualizado 2025-09-10 · CVE-2024-28130

Positive Technologies (AI Summary) · Pt

CVSS v2.0

7.8

Alta

Vetor base

AV:N/AC:L/Au:N/C:N/I:N/A:C

Nome do software vulnerável e versões afetadas

OFFIS DCMTK versão 3.6.8

Descrição

Existe uma vulnerabilidade de conversão de tipo incorreta na funcionalidade DVPSSoftcopyVOI PList::createFromImage. Um arquivo malformado especialmente criado pode levar à execução de código arbitrário. Um invasor pode fornecer um arquivo malicioso para explorar essa vulnerabilidade.

Recomendações

Para o OFFIS DCMTK versão 3.6.8, considere evitar o uso da funcionalidade DVPSSoftcopyVOI PList::createFromImage até que uma correção esteja disponível. Como solução temporária, restrinja o manuseio de arquivos malformados para minimizar o risco de exploração. No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

Exploit

Incorrect Type Conversion or Cast

Enumeração de Fraquezas

CWE-704

Identificadores relacionados

BDU:2025-01309

CVE-2024-28130

DLA-3847-1

DLA-4038-1

DLA-4038-2

MGASA-2024-0251

OPENSUSE-SU-2024:0113-1

OPENSUSE-SU-2024:13898-1

USN-7010-1

Produtos afetados

Astra Linux

Dcmtk

Debian

Linuxmint

Red Os

Ubuntu

Referências · 45

• 🔥 https://talosintelligence.com/vulnerability_reports/TALOS-2024-1957 · Exploit
• https://twitter.com/CVEnew/status/1782790445627592730 · Publicação no Twitter
• https://osv.dev/vulnerability/DLA-4038-2 · Aviso do Fabricante
• https://reddit.com/r/Operatingsystems/comments/1jcy1dr/debian_12100_released · Publicação no Reddit
• https://bugzilla.suse.com/1223324 · Nota
• https://security-tracker.debian.org/tracker/CVE-2024-28130 · Aviso do Fabricante
• https://ubuntu.com/security/CVE-2022-43272 · Aviso do Fabricante
• https://xn--80ahaefyxhn.xn--j1afgaq.xn--p1ai/bin/view/%D0%9E%D0%A1%D0%BD%D0%BE%D0%B2%D0%B0/%D0%9E%D0%B1%D0%BD%D0%BE%D0%B2%D0%BB%D0%B5%D0%BD%D0%B8%D1%8F/2.11 · Nota
• https://redos.red-soft.ru/support/secure/uyazvimosti/support/secure/uyazvimosti/mnozhestvennye-uyazvimosti-dcmtk-10092025 · Nota
• https://t.me/cvenotify/77790 · Publicação no Telegram
• https://bugs.mageia.org/show_bug.cgi?id=33350 · Nota
• https://bugzilla.suse.com/1220809 · Nota
• https://ubuntu.com/security/CVE-2022-2121 · Aviso do Fabricante
• https://lists.debian.org/debian-lts-announce/2024/06/msg00022.html · Nota
• https://ubuntu.com/security/notices/USN-7010-1 · Aviso do Fabricante