远程 Debian 11 主机上安装的多个程序包受到 dla-4652 公告中提及的多个漏洞影响。

    ------------------------------------------------------------------------- Debian LTS 公告 DLA-4652-1 debian-lts@lists.debian.org https://www.debian.org/lts/security/Emmanuel Arias 2026 年 6 月 26 日https://wiki.debian.org/LTS-------------------------------------------------------------------------

    程序包：gdcm 版本：3.0.8-2+deb11u1 CVE ID： CVE-2024-22373 CVE-2024-22391 CVE-2024-25569 CVE-2025-11266 CVE-2025-48429 CVE-2025-52582 CVE-2025-53618 CVE-2025-53619 CVE-2026-3650 Debian 缺陷：1070387 1122862 1123576 1123587 1123589 1132042

    在用于处理 DICOM 医疗文件的 C++ 库 gdcm 中发现多个漏洞：

    CVE-2024-22373

        JPEG2000Codec：：DecodeByStreamsCommon 功能中存在一个越界写入漏洞。特别构建的 DICOM 文件可导致堆缓冲区溢出。攻击者可提供恶意路径来触发此漏洞。

    CVE-2024-22391

        LookupTable：：SetLUT 功能中存在一个基于堆的缓冲区溢出漏洞。特别构建的格式错误文件可导致内存损坏。攻击者可提供恶意路径来触发此漏洞。

    CVE-2024-25569

        RAWCodec::DecodeBytes 功能中存在一个越界读取漏洞。特制的 DICOM 文件可导致越界读取。攻击者可提供恶意路径来触发此漏洞。

    CVE-2025-11266

        解析包含封装的 PixelData 片段（存储为多个片段的压缩图像数据）的畸形 DICOM 文件时，存在越界写入漏洞。此漏洞会导致分段错误，这是由缓冲区索引中的无符号整数下溢导致的越界内存访问所导致。可通过文件输入利用此问题：只要打开构建的恶意 DICOM 文件就足以触发崩溃，从而导致拒绝服务情况。

    CVE-2025-48429

        RLECodec::DecodeByStreams 功能中存在一个越界读取漏洞。特别构建的 DICOM 文件可导致堆数据泄露。攻击者可提供恶意路径来触发此漏洞。

    CVE-2025-52582

        Overlay：：GrabOverlayFromPixelData 功能中存在越界读取漏洞。特别构建的 DICOM 文件可导致信息泄露。攻击者可提供恶意路径来触发此漏洞。

    CVE-2025-53618

        JPEGBITSCodec::InternalCode 功能中存在一个越界读取漏洞。特别构建的 DICOM 文件可导致信息泄露。攻击者可提供恶意路径来触发此漏洞。grayscale_convert函数是基于恶意 DICOM 文件的值来调用的，该文件指定了对图像像素数据的预期解释。

    CVE-2025-53619

        JPEGBITSCodec::InternalCode 功能中存在一个越界读取漏洞。特别构建的 DICOM 文件可导致信息泄露。攻击者可提供恶意路径来触发此漏洞。null_convert函数是基于恶意 DICOM 文件的值来调用的，该文件指定了对图像像素数据的预期解释。

    CVE-2026-3650

        当解析在文件元数据信息中含有非标准 VR 类型的畸形 DICOM 文件时，存在内存泄漏。该漏洞导致海量内存分配和资源耗尽，从而触发拒绝服务条件。恶意构建的文件可在未正确释放的情况下，在单个读取操作中填满堆。

    对于 Debian 11 bullseye，已在 3.0.8-2+deb11u1 版本中修复这些问题。

    我们建议您升级 gdcm 程序包。

    如需了解 gdcm 的详细安全状态，请参阅其安全跟踪页面：
    https://security-tracker.debian.org/tracker/gdcm

    有关 Debian LTS 安全公告、如何将这些更新应用到系统以及常见问题解答的更多信息，请访问以下网址：https://wiki.debian.org/LTSAttachment:signature.ascDescription: PGP signature

Tenable 已直接从 Debian 安全公告中提取上述描述块。

请注意，Nessus 尚未测试这些问题，而是只依据应用程序自我报告的版本号进行判断。

检测

Debian dla-4652 : gdcm-doc - 安全更新

high Nessus 插件 ID 323102

版本 1.1