Debian dla-4652 : gdcm-doc - 安全更新
high Nessus 插件 ID 323102
语言：
简介
远程 Debian 主机上缺少一个或多个与安全性相关的更新。描述
远程 Debian 11 主机上安装的多个程序包受到 dla-4652 公告中提及的多个漏洞影响。------------------------------------------------------------------------- Debian LTS 公告 DLA-4652-1 [email protected] https://www.debian.org/lts/security/Emmanuel Arias 2026 年 6 月 26 日https://wiki.debian.org/LTS-------------------------------------------------------------------------
程序包：gdcm 版本：3.0.8-2+deb11u1 CVE ID： CVE-2024-22373 CVE-2024-22391 CVE-2024-25569 CVE-2025-11266 CVE-2025-48429 CVE-2025-52582 CVE-2025-53618 CVE-2025-53619 CVE-2026-3650 Debian 缺陷：1070387 1122862 1123576 1123587 1123589 1132042
在用于处理 DICOM 医疗文件的 C++ 库 gdcm 中发现多个漏洞：
CVE-2024-22373
JPEG2000Codec：：DecodeByStreamsCommon 功能中存在一个越界写入漏洞。特别构建的 DICOM 文件可导致堆缓冲区溢出。攻击者可提供恶意路径来触发此漏洞。
CVE-2024-22391
LookupTable：：SetLUT 功能中存在一个基于堆的缓冲区溢出漏洞。特别构建的格式错误文件可导致内存损坏。攻击者可提供恶意路径来触发此漏洞。
CVE-2024-25569
RAWCodec::DecodeBytes 功能中存在一个越界读取漏洞。特制的 DICOM 文件可导致越界读取。攻击者可提供恶意路径来触发此漏洞。
CVE-2025-11266
解析包含封装的 PixelData 片段（存储为多个片段的压缩图像数据）的畸形 DICOM 文件时，存在越界写入漏洞。此漏洞会导致分段错误，这是由缓冲区索引中的无符号整数下溢导致的越界内存访问所导致。可通过文件输入利用此问题：只要打开构建的恶意 DICOM 文件就足以触发崩溃，从而导致拒绝服务情况。
CVE-2025-48429
RLECodec::DecodeByStreams 功能中存在一个越界读取漏洞。特别构建的 DICOM 文件可导致堆数据泄露。攻击者可提供恶意路径来触发此漏洞。
CVE-2025-52582
Overlay：：GrabOverlayFromPixelData 功能中存在越界读取漏洞。特别构建的 DICOM 文件可导致信息泄露。攻击者可提供恶意路径来触发此漏洞。
CVE-2025-53618
JPEGBITSCodec::InternalCode 功能中存在一个越界读取漏洞。特别构建的 DICOM 文件可导致信息泄露。攻击者可提供恶意路径来触发此漏洞。grayscale_convert函数是基于恶意 DICOM 文件的值来调用的，该文件指定了对图像像素数据的预期解释。
CVE-2025-53619
JPEGBITSCodec::InternalCode 功能中存在一个越界读取漏洞。特别构建的 DICOM 文件可导致信息泄露。攻击者可提供恶意路径来触发此漏洞。null_convert函数是基于恶意 DICOM 文件的值来调用的，该文件指定了对图像像素数据的预期解释。
CVE-2026-3650
当解析在文件元数据信息中含有非标准 VR 类型的畸形 DICOM 文件时，存在内存泄漏。该漏洞导致海量内存分配和资源耗尽，从而触发拒绝服务条件。恶意构建的文件可在未正确释放的情况下，在单个读取操作中填满堆。
对于 Debian 11 bullseye，已在 3.0.8-2+deb11u1 版本中修复这些问题。
我们建议您升级 gdcm 程序包。
如需了解 gdcm 的详细安全状态，请参阅其安全跟踪页面：
https://security-tracker.debian.org/tracker/gdcm
有关 Debian LTS 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://wiki.debian.org/LTSAttachment:signature.ascDescription: PGP signature
Tenable 已直接从 Debian 安全公告中提取上述描述块。
请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。
解决方案
升级 gdcm-doc 程序包。另见
https://packages.debian.org/source/bullseye/gdcm
https://security-tracker.debian.org/tracker/CVE-2024-22373
https://security-tracker.debian.org/tracker/CVE-2024-22391
https://security-tracker.debian.org/tracker/CVE-2024-25569
https://security-tracker.debian.org/tracker/CVE-2025-11266
https://security-tracker.debian.org/tracker/CVE-2025-48429
https://security-tracker.debian.org/tracker/CVE-2025-52582
https://security-tracker.debian.org/tracker/CVE-2025-53618
https://security-tracker.debian.org/tracker/CVE-2025-53619
https://security-tracker.debian.org/tracker/CVE-2026-3650
https://security-tracker.debian.org/tracker/source-package/gdcm
插件详情
严重性: High
ID: 323102
文件名: debian_DLA-4652.nasl
版本: 1.1
类型: Local
代理: unix
发布时间: 2026/6/26
最近更新时间: 2026/6/26
支持的传感器: Frictionless Assessment Agent, Nessus Agent, Agentless Assessment, Continuous Assessment, Tenable Cloud Security, Tenable Self-Hosted Container Security, Nessus
风险信息
VPR
风险因素: Medium
分数: 4.9
百分位: 57.12
CVSS v2
风险因素: Critical
基本分数: 10
时间分数: 7.8
矢量: CVSS2#AV:N/AC:L/Au:N/C:C/I:C/A:C
CVSS 分数来源: CVE-2024-22391
CVSS v3
风险因素: Critical
基本分数: 9.8
时间分数: 8.8
矢量: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
时间矢量: CVSS:3.0/E:P/RL:O/RC:C
CVSS v4
风险因素: High
Base Score: 8.7
Threat Score: 8.7
Threat Vector: CVSS:4.0/E:P
Vector: CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:N/VI:N/VA:H/SC:N/SI:N/SA:N
CVSS 分数来源: CVE-2026-3650
漏洞信息
CPE: p-cpe:/a:debian:debian_linux:libgdcm-java, cpe:/o:debian:debian_linux:11.0, p-cpe:/a:debian:debian_linux:libvtkgdcm-dev, p-cpe:/a:debian:debian_linux:libgdcm-dev, p-cpe:/a:debian:debian_linux:libvtkgdcm3.0, p-cpe:/a:debian:debian_linux:gdcm-doc, p-cpe:/a:debian:debian_linux:libgdcm3.0, p-cpe:/a:debian:debian_linux:libvtkgdcm-tools, p-cpe:/a:debian:debian_linux:libgdcm-cil, p-cpe:/a:debian:debian_linux:libgdcm-tools, p-cpe:/a:debian:debian_linux:libvtkgdcm-cil, p-cpe:/a:debian:debian_linux:python3-gdcm, p-cpe:/a:debian:debian_linux:python3-vtkgdcm, p-cpe:/a:debian:debian_linux:libvtkgdcm-java
必需的 KB 项: Host/local_checks_enabled, Host/Debian/release, Host/Debian/dpkg-l
可利用: true
易利用性: Exploits are available
补丁发布日期: 2026/6/26
漏洞发布日期: 2024/4/25
参考资料信息
CVE: CVE-2024-22373, CVE-2024-22391, CVE-2024-25569, CVE-2025-11266, CVE-2025-48429, CVE-2025-52582, CVE-2025-53618, CVE-2025-53619, CVE-2026-3650