Fix wlmscpfs crash on VR-spoofed seq. attributes.

Applied-Upstream: f4e0074682645b1a4289d62581926c4394d5c6d5
Last-Update: 2026-05-29
Reviewed-By: Étienne Mollier <emollier@debian.org>
Bug-Debian: https://bugs.debian.org/1141411

wldsfs.cc cast findAndGetElement() results to DcmSequenceOfItems*
without checking the VR. A C-FIND with a dictionary-SQ tag declared
under a non-SQ wire VR (Explicit VR) thus dispatched through the wrong
vtable and crashes the SCP (see also CVE-2024-28130 in dcmpstat).

Use findAndGetSequence(), which validates the VR. Also guard getItem(0)
against an empty ScheduledProcedureStepSequence and drop a bogus cast.

Thanks for the report and analysis to Abhinav Agarwal.

This closes DCMTK issue #1218.

Gbp-Pq: Name 0024-CVE-2026-44628a.patch

CVE-2026-52868

commit e3878daf870cd2db50eadfde38615f0afae8a584
Author: Michael Onken <onken@open-connections.de>
Date:   Tue May 19 17:16:08 2026 +0200

    Fix path traversal in wlmscpfs through Called AET.

    The wlmscpfs SCP appended the Called Application Entity Title received
    in the A-ASSOCIATE-RQ directly onto the configured worklist data file
    path and used the existence of the resulting directory as an access
    control decision. Because DICOM VR AE permits the characters "/", "\"
    and ".", a peer could send a 16-byte AE title such as "../secret/VICTIM"
    and have wlmscpfs serve worklist records from a sibling directory of
    the configured root. With option --request-file-path enabled, the same
    AE title (and the Patient ID) was substituted into the output filename
    template without sanitization, producing an arbitrary-location write
    primitive outside the configured request file directory.

    This commit closes both holes:

    - wlmscpfs now rejects any A-ASSOCIATE-RQ whose Called AE title is not
      safe to use as a single filesystem path component, refusing the
      association with WLM_BAD_AE_SERVICE. The validation is implemented in
      the new static method WlmFileSystemInteractionManager::IsValidAETitle\
      ForFilesystem, which rejects empty or over-long titles, any title
      containing a dot, and delegates the remaining character check to
      OFStandard::sanitizeAETitle (sanitize-and-compare).

    - The placeholder substitution in storeRequestToFile now passes each
      substituted value (#a, #c, #p) through OFStandard::sanitizeAETitle
      before insertion, and additionally sanitizes the final filename, so
      that any path separator surviving the substitution is defanged.

    Supporting changes:

    - Promote storescp's private sanitizeAETitle helper into the public
      OFStandard::sanitizeAETitle, with documentation noting that the
      function is also used by wlmscpfs to validate filesystem path
      components (so widening the allow list has downstream effects).
    - Replace storescp's local copy of the helper with the new public one.
    - Add a forward declaration of DcmSequenceOfItems in wlfsim.h that
      was previously missing (existing callers happened to include dctk.h
      first).
    - Document the new behaviour in the wlmscpfs man page.

    Tests:

    - New ofstd_OFStandard_sanitizeAETitle test covers the lifted helper
      (path separators, NUL, control bytes, high-range bytes, shell
      metacharacters, the quotation-mark preservation behaviour, and
      empty/length-1 edge cases).
    - New dcmwlm_aetitle_validation test covers the validator directly
      with every path-traversal payload from the bug report ("../secret/\
      VICTIM", "../CARDIOLOGY", "..", ".", "..\secret"), dotted variants
      ("MY.AE", "foo..bar", ".foo", "foo."), structural rejections (empty,
      17 bytes, embedded NUL, tab, 0xFF), shell metacharacters, and a row
      of legitimate AE titles that must still be accepted.
    - dcmwlm previously had no OFTEST scaffolding; tests.cc has been added
      along with the corresponding CMakeLists.txt and Makefile.in entries.

    Thanks to Abhinav Agarwal for the report.

Gbp-Pq: Name 0023-CVE-2026-52868.patch

Fix A-ASSOCIATE-RQ/AC error-path leaks in DUL FSM.

Applied-Upstream: 2312891a8d058c862e00bcbd636e5da26308658a
Last-Update: 2026-05-29
Reviewed-By: Étienne Mollier <emollier@debian.org>
Bug-Debian: https://bugs.debian.org/1141411

AE_3_AssociateConfirmationAccept and AE_6_ExamineAssociateRequest leaked
the whole parsed PDU graph (presentation contexts, transfer syntax
sub-chains, role list, user info) on error returns taken after
parseAssociate() succeeded, since only the success path freed it. For an
SCP this is remotely triggerable and accumulates per connection.

Free the parsed PDU before each such return;
translatePresentationContextList() also frees the proposed transfer
syntax list of a rejected context. Add a dcmnet regression test
(tassocleak.cc) driving the AE_6 zero-transfer-syntax path against an
in-process DcmSCP; leak-clean with the fix under DCMTK_WITH_SANITIZERS.

Thanks for the report and analysis to Abhinav Agarwal.

This closes DCMTK issue #1217.

Gbp-Pq: Name 0022-CVE-2026-35505.patch

Fix extNegList leaks on A-ASSOCIATE parse failure.

Applied-Upstream: 23f181f7a3cb8334056f751a3a0c2ddf01046752
Last-Update: 2026-05-26
Reviewed-By: Étienne Mollier <emollier@debian.org>
Bug-Debian: https://bugs.debian.org/1141411

Thanks for the report and analysis to Abhinav Agarwal.

This closes DCMTK feature #126.

Gbp-Pq: Name 0021-CVE-2026-50254.patch

Fixed path traversal in DcmSCU bit-pres. C-GET.

Applied-Upstream: eca9a03dda7d4fc1faa7e5a6dac9617938cf5803
Last-Update: 2026-05-12
Reviewed-By: Étienne Mollier <emollier@debian.org>
Bug-Debian: https://bugs.debian.org/1141411

In DCMSCU_STORAGE_BIT_PRESERVING mode, the C-STORE sub-operation
handler in handleCGETSession() built the on-disk filename from the
peer-supplied AffectedSOPInstanceUID without sanitization, allowing
a malicious C-STORE SCP to write files outside the configured
storage directory via path-separator or "../" sequences in the UID.

The DISK mode path was already sanitized (via createStorageFilename(),
fixed in commit f06a86751 for CVE-2022-2120); this branch was missed.
The fix mirrors the same pattern (sanitize a local OFString copy) so
the request struct stays intact and the C-STORE response still echoes
the peer's original UID per protocol.

Affects all consumers of DcmSCU using DCMSCU_STORAGE_BIT_PRESERVING,
including getscu --bit-preserving.

This fixes DCMTK issue #1207.

Thanks to Abhinav Agarwal for the report and analysis.

Gbp-Pq: Name 0020-CVE-2026-50003.patch

CVE-2026-12805

commit 1d4b3815c0987840a983160bfc671fef63a3105b
Author: Marco Eichelberg <eichelberg@offis.de>
Date:   Sat May 23 17:07:58 2026 +0200

    Fixed buffer overflow in XMLNode::parseFile().

    Fixed a heap buffer overflow that could occur in the XML parser
    when reading from a named pipe.

    Thanks to Cristhian Daniel Rivas Zúñiga and Sebastian Andres Muñoz Morera
    (Insituto Tecnológico de Costa Rica) for the bug report and fix.

    This closes DCMTK issue #1208.

Gbp-Pq: Name 0019-CVE-2026-12805.patch

CVE-2026-10194

commit 0f78a4ef6f645ea5530166e445e5436a5de58e75
Author: Marco Eichelberg <eichelberg@offis.de>
Date:   Mon May 4 17:48:30 2026 +0200

    Fixed remote heap buffer overflow in dcmqrscp.

    Thanks to 'elp3pinill0' for the bug report, detailed
    analysis, proof of concept and proposed fix.

    This closes DCMTK issue #1206.

Gbp-Pq: Name 0018-CVE-2026-10194.patch

CVE-2025-14841

commit ffb1a4a37d2c876e3feeb31df4930f2aed7fa030
Author: Marco Eichelberg <eichelberg@offis.de>
Date:   Fri Nov 28 12:24:07 2025 +0100

    Fixed two possible segfaults in dcmqrscp.

    Fixed two places where invalid messages may trigger a segmentation fault
    due to a NULL pointer being de-referenced.

    Thanks to 邹 迪凯 <zoudikai@outlook.com> for the bug report and proof-of-concept.

Gbp-Pq: Name 0017-CVE-2025-14841.patch

CVE-2026-5663

commit edbb085e45788dccaf0e64d71534cfca925784b8
Author: Marco Eichelberg <eichelberg@offis.de>
Date:   Sat Mar 21 18:35:14 2026 +0100

    Sanitize all strings passed to the exec options.

    Sanitize the text fields from incoming DICOM associations and DICOM objects
    (such as Study Instance UID, SOP Instance UID, Patient's Name) and the
    calling SCU's network presentation address by removing special characters
    that may be interpreted as shell escape characters when one of the
    execution options (e.g. --exec-on-reception) is in use.

    Thanks to Machine Spirits UG (haftungsbeschränkt) for the bug report,
    detailed analysis and proof of concept.

    This closes DCMTK issue #1194.

Gbp-Pq: Name 0016-CVE-2026-5663.patch

CVE-2025-14607

commit 4c0e5c10079392c594d6a7abd95dd78ac0aa556a
Author: Marco Eichelberg <eichelberg@offis.de>
Date:   Tue Dec 2 09:06:30 2025 +0100

    Fixed bug in handling of odd-length data elements.

    When a dataset containing an illegal odd-length attribute with a text VR
    was read from file or received over a network connection, then accessing
    the value of that attribute with DcmElement::getString() may return a
    pointer to a string that was not properly null terminated. Using C string
    functions such as strlen() or strcpy() on that string then lead to a read
    beyond the end of a string, causing a segmentation fault.

    Thanks to Zou Dikai <zoudikai@outlook.com> for the bug report and POC.

    This closes DCMTK issue #1184.

Gbp-Pq: Name 0015-CVE-2025-14607.patch

CVE-2025-9732b

commit 3de96da6cd66b1af7224561c568bc3de50cd1398
Author: Joerg Riesmeier <dicom@jriesmeier.com>
Date:   Mon Aug 18 17:58:56 2025 +0200

    Fixed issue with commit 7ad81d69b.

    Fixed an issue with recently committed changes that fix a problem with
    invalid YBR_FULL images

Gbp-Pq: Name 0014-CVE-2025-9732b.patch

CVE-2025-9732

commit 7ad81d69b19714936e18ea5fc74edaeb9f021ce7
Author: Joerg Riesmeier <dicom@jriesmeier.com>
Date:   Fri Aug 15 13:35:40 2025 +0200

    Fixed issue with invalid "YBR_FULL" DICOM images.

    Fixed an issue when processing an invalid DICOM image with a Photometric
    Interpretation of "YBR_FULL" and a Planar Configuration of "1" where
    the number of pixels stored does not match the expected number of pixels
    (much too less). Now, the pixel data of such an image is not processed
    at all, but an empty image (black pixels) is created instead. The user
    is warned about this by an appropriate log message.

    Thanks to Ding zhengzheng <xiaozheng.ding399@gmail.com> for the report
    and the sample file (PoC).

Gbp-Pq: Name 0013-CVE-2025-9732.patch

Fixed segfault in JPEG-LS decoder.

X-Git-Url: http://git.dcmtk.org/?p=dcmtk.git;a=commitdiff_plain;h=3239a791542e1ea433d23aaa9e0a05a532ffabff;hp=92fc86e9e8d0808880bcc82e25982b2a61323cb8

Fixed segfault in JPEG-LS decoder.

Fixed a bug in the JPEG-LS decoder that led to a segmentation fault if invalid
input data was processed, due to insufficient validation of input data.

Thanks to Ding zhengzheng <xiaozheng.ding399@gmail.com> for the report
and the sample file (PoC).

This closes DCMTK issue #1155.

Gbp-Pq: Name 0012-CVE-2025-2357.patch

CVE-2025-25472

commit 410ffe2019b9db6a8f4036daac742a6f5e4d36c2
Author: Joerg Riesmeier <dicom@jriesmeier.com>
Date:   Fri Jan 17 17:53:50 2025 +0100

    Fixed another issue with invalid mono images.

    Fixed issue when rendering an invalid monochrome DICOM image where the
    number of pixels stored does not match the expected number of pixels.
    In this case, only a single pixel is processed, but the pixel matrix is
    much larger. Filling the rest of the pixel matrix with the smallest
    possible value for the image is not working because of an optimized
    memory usage (value would be out of range). Now, the pixel value to be
    used is double-checked before it is actually filled into the "background"
    of the image.

    Thanks to Ding zhengzheng <xiaozheng.ding399@gmail.com> for the report
    and the sample file (PoC).

Gbp-Pq: Name 0011-CVE-2025-25472.patch

CVE-2025-25474

commit 1d205bcd307164c99e0d4bbf412110372658d847
Author: Joerg Riesmeier <dicom@jriesmeier.com>
Date:   Tue Jan 21 11:12:28 2025 +0100

    Fixed another issue with invalid DICOM images.

    Fixed issue when processing an invalid DICOM image where the number of
    pixels stored does not match the expected number of pixels (too less)
    and the combination of BitsAllocated and BitsStored is really unusual
    (e.g. 1 bit stored, but 52 bits allocated). In cases where the last
    pixel (e.g. a single bit) does not fit into the buffer of the input
    pixel data, a buffer overflow occurred on the heap. Now, the last entry
    of the buffer is filled with the smallest possible value (e.g. 0 in case
    of unsigned data).

    Thanks to Ding zhengzheng <xiaozheng.ding399@gmail.com> for the report
    and the sample file (PoC).

Gbp-Pq: Name 0010-CVE-2025-25474.patch

CVE-2025-25475

commit bffa3e9116abb7038b432443f16b1bd390e80245
Author: Marco Eichelberg <eichelberg@offis.de>
Date:   Thu Jan 23 15:51:21 2025 +0100

    Fixed issue with invalid RLE compressed DICOM images.

    Fixed issue when processing an RLE compressed image where the RLE header
    contains an invalid stripe size.

    Thanks to Ding zhengzheng <xiaozheng.ding399@gmail.com> for the report
    and the sample file (PoC).

Gbp-Pq: Name 0009-CVE-2025-25475.patch

Added check to make sure: HighBit < BitsAllocated.

Forwarded: https://git.dcmtk.org/?p=dcmtk.git;a=commit;h=03e851b0586d05057c3268988e180ffb426b2e03
Bug-Debian: https://bugs.debian.org/1093047
Reviewed-By: Étienne Mollier <emollier@debian.org>
Last-Update: 2025-01-18

Added check to the image preprocessing to make sure that the value of
HighBit is always less than the value of BitsAllocated. Before, this
missing check could lead to memory corruption if an invalid combination
of values was retrieved from a malformed DICOM dataset.

Thanks to Emmanuel Tacheau from the Cisco Talos team
<vulndiscovery@external.cisco.com> for the report, sample file (PoC)
and detailed analysis. See TALOS-2024-2121 and CVE-2024-52333.

Gbp-Pq: Name 0008-CVE-2024-52333.patch

Fixed issue rendering invalid monochrome image.

Forwarded: https://git.dcmtk.org/?p=dcmtk.git;a=commit;h=89a6e399f1e17d08a8bc8cdaa05b2ac9a50cd4f6
Bug-Debian: https://bugs.debian.org/1093043
Reviewed-By: Étienne Mollier <emollier@debian.org>
Last-Update: 2025-01-18

Fixed issue when rendering an invalid monochrome DICOM image where the
number of pixels stored does not match the expected number of pixels.
If the stored number is less than the expected number, the rest of the
pixel matrix for the intermediate representation was always filled with
the value 0. Under certain, very rare conditions, this could result in
memory problems reported by an Address Sanitizer (ASAN). Now, the rest
of the matrix is filled with the smallest possible value for the image.

Thanks to Emmanuel Tacheau from the Cisco Talos team
<vulndiscovery@external.cisco.com> for the original report, the sample
file (PoC) and further details. See TALOS-2024-2122 and CVE-2024-47796.

Gbp-Pq: Name 0007-CVE-2024-47796.patch

Remove version

Forwarded: not-needed
Bug-Debian: https://bugs.debian.org/1098944
Last-Update: 2025-03-21

Gbp-Pq: Name remove_version.patch

Don't add executables to cmake exports

Bug-Debian: https://bugs.debian.org/803304
Forwarded: not-needed

CMake exports are used by other packages that compile
and link against dcmtk. Because Debian moves some of
these executables and also dosn't install the test
executables, this import may fail leading to failure
to configure the according package.
===================================================================

Gbp-Pq: Name 07_dont_export_all_executables.patch

The original maintainer Jürgen Salk applied

Forwarded: not-needed

a set of patches to the original code.  This file contains
changes to C++ code

Gbp-Pq: Name 01_dcmtk_3.6.0-1.patch

d/changelog: ready for team upload to trixie-pu.

d/changelog: ready for upload to trixie-pu.

d/patches/*-CVE-2026-*.patch: new security patches.

This change includes a patch queue addressing CVE-2026-50003,
CVE-2026-50254, CVE-2026-35505, CVE-2026-52868 and CVE-2026-44628.
The latter CVE-2026-44628 is divided into two patches to match
upstream's commits.  These changes fix a range of issues, including
risks of path traversals, denial of services and information leaks.

Closes: #1141411

d/changelog: ready for trixie proposed upload.

CVE-2026-12805.patch: new: fix CVE-2026-12805.

This patch fixes a risk of buffer overflow by ensuring negative error
codes in XMLNode::parseFile are properly handled, as well a NULL
values.

Closes: #1140562

d/changelog: ready for upload to trixie.

0018-CVE-2026-10194.patch: new: fix CVE-2026-10194.

Closes: #1139181

0017-CVE-2025-14841.patch: new: fix CVE-2025-14841.

Closes: #1123584

0016-CVE-2026-5663.patch: new: fix CVE-2026-5663.

Closes: #1133001

0015-CVE-2025-14607.patch: new: fix CVE-2025-14607.

Closes: #1122926

d/patches/*-CVE-2025-9732.patch: new.

These changes pulled from dcmtk upstream address CVE-2025-9732.

Closes: #1113993

d/changelog: Upload 3.6.9-5 to unstable

documentation: Spring cleanups. Closes: #1095639

0012-CVE-2025-2357.patch: new: fix CVE-2025-2357.

Closes: #1100724

d/control: relax dependency on dcmtk-data. Closes: #1098944

d/changelog: ready for upload to unstable.

0011-CVE-2025-25472.patch: new: fix CVE-2025-25472.

d/changelog: unrelease.

d/changelog: ready for upload to unstable.

0010-CVE-2025-25474.patch: new: fix CVE-2025-25474.

Closes: #1098374

0009-CVE-2025-25475.patch: new: fix CVE-2025-25475.

Closes: #1098373

Reinstate 0007-CVE-2024-47796.patch and 0008-CVE-2024-52333.patch.

These were not part of dcmtk 3.6.9 upstream and still apply.

Thanks: Salvatore Bonaccorso

d/changelog: Upload 3.6.9-3 to unstable

d/watch: Properly watch upstream on github

d/doc: Make sure to reference 3.6.9 path

d/patches: Remove old unused patches

d/changelog: Upload 3.6.9-2 to experimental

d/t/run-unit-test: Adapt to new installation

d/changelog: Upload 3.6.9-1 to experimental

Merge branch 'master' into debian/experimental

d/patches: Refresh patches

d/install: Migrate to new SOVERSION

Update upstream source from tag 'upstream/3.6.9'

Update to upstream version '3.6.9'
with Debian dir 6c3bd68558195e7a06972f9cf791344eb75eae8c

New upstream version 3.6.9

d/changelog: ready for upload to unstable.

0008-CVE-2024-52333.patch: new.

This patch addresses CVE-2024-52333.

Closes: #1093047

0007-CVE-2024-47796.patch: new.

This patch addresses CVE-2024-47796.

Closes: #1093043

0004-Fixed-two-segmentation-faults.patch: unfuzz.

0001-Fixed-unchecked-typecasts-of-DcmItem-search-results.patch

Patch refreshed.

d/changelog: Upload 3.6.8-6 to unstable

d/patches: Fixed possible overflows when allocating memory. Closes: #1074483

d/t/run-unit-test: Fix unit-test for new release. Closes: #1075917

d/changelog: Upload 3.6.8-5 to unstable

d/control: Bump Std-Vers to 4.7.0 no changes needed

d/changelog: Upload 3.6.8-4 to experimental

Merge branch 'master' into debian/experimental

Upload for unstable as 3.6.7-15

Update two of the previously applied patches to avoid breaking the ABI. Closes: #1070207.

The updated patches are:

0001-Fixed-unchecked-typecasts-of-DcmItem-search-results.patch
0003-Fixed-wrong-error-handling-previous-commit.patch

Upload for unstable as 3.6.7-14

Apply patches from NMU proposal by Adrian Bunk to address CVE-2024-28130, CVE-2024-34508 and CVE-2024-34509. Closes: #1070207.

drop salsa-ci.yml in favor of the default configuration from pipeline repository

build reproducibly without rpath and set LD_LIBRARY_PATH for running tests

removed embedded build path from DCMTKConfig.cmake

[armhf,armel] No need to drop graphviz from build-depends-indep

Build-Depends-Indep are only used to build the arch:all packages, and currently
all the arch:all autobuilder run on amd64.

routine-update: Ready to upload to unstable

d/control: add explicit dependency on libnsl-dev. Closes: #1066422.

Marked Debian-specific patches as not needing forwarding to upstream.

Acknowledge NMU

Do not build-depend on graphviz on armhf and armel.

The package is currently not installable on those arches due to the ongoing t64
transition.

Co-authored-by: Michael R. Crusoe <crusoe@debian.org>

Upload to unstable

Fix typo in target distribution during upload

Upload to unstable

d/rules: Fix armel buildd

Rename libraries for 64-bit time_t transition.

Closes: #1062022
Signed-off-by: Étienne Mollier <emollier@debian.org>

d/changelog: Upload 3.6.8-3 to experimental

d/rules: Fix armel buildd

d/changelog: Upload 3.6.8-2 to experimental

d/patches: Import bug fix from upstream

d/rules: Fix test suite on x87 hardware

d/changelog: Upload 3.6.8-1 to experimental

d/patches: Refresh patches

New upstream version 3.6.8

Update upstream source from tag 'upstream/3.6.8'

Update to upstream version '3.6.8'
with Debian dir 9197f93b8f3af0afd6f1f4f0edb87e66c45db77f

d/changelog: Upload 3.6.8~git20231027.1549d8c-2 to experimental

d/patches: Fix install path for docs

d/changelog: Upload 3.6.8~git20231027.1549d8c-1 to experimental

d/rules: Start using LTO

d/patches: Remove version from install paths

New upstream version 3.6.8~git20231027.1549d8c