Merge version 3.7.0+really3.7.0-2+rpi1 and 3.7.0+really3.7.0-6 to produce 3.7.0+really3.7.0-6+rpi1

Make fast forward from 3.7.0+really3.7.0-5

[dgit --quilt=gbp]

CVE-2026-12805

commit 1d4b3815c0987840a983160bfc671fef63a3105b
Author: Marco Eichelberg <eichelberg@offis.de>
Date:   Sat May 23 17:07:58 2026 +0200

    Fixed buffer overflow in XMLNode::parseFile().

    Fixed a heap buffer overflow that could occur in the XML parser
    when reading from a named pipe.

    Thanks to Cristhian Daniel Rivas Zúñiga and Sebastian Andres Muñoz Morera
    (Insituto Tecnológico de Costa Rica) for the bug report and fix.

    This closes DCMTK issue #1208.

Gbp-Pq: Name CVE-2026-12805.patch

Fixed remote heap buffer overflow in dcmqrscp.

Applied-Upstream: 0f78a4ef6f645ea5530166e445e5436a5de58e75
Last-Update: 2026-05-04
Bug: https://support.dcmtk.org/redmine/issues/1206
Bug-Debian: https://bugs.debian.org/1139181
Reviewed-By: Étienne Mollier <emollier@debian.org>
Thanks to 'elp3pinill0' for the bug report, detailed
analysis, proof of concept and proposed fix.

Gbp-Pq: Name CVE-2026-10194.patch

Sanitize all strings passed to the exec options.

Applied-Upstream: edbb085e45788dccaf0e64d71534cfca925784b8
Last-Update: 2026-03-21
Bug: https://support.dcmtk.org/redmine/issues/1194
Bug-Debian: https://bugs.debian.org/1133001
Reviewed-By: Étienne Mollier <emollier@debian.org>
Sanitize the text fields from incoming DICOM associations and DICOM objects
(such as Study Instance UID, SOP Instance UID, Patient's Name) and the
calling SCU's network presentation address by removing special characters
that may be interpreted as shell escape characters when one of the
execution options (e.g. --exec-on-reception) is in use.

Thanks to Machine Spirits UG (haftungsbeschränkt) for the bug report,
detailed analysis and proof of concept.

This closes DCMTK issue #1194.

Gbp-Pq: Name CVE-2026-5663.patch

[PATCH] Added support for GNU Hurd in OFgetExecutablePath().

Thanks to Pino Toscano (GitHub user pinotree) for the pull request.

This closes GitHub PR #137.

Gbp-Pq: Name hurd.patch

skip test failure on big endian systems.

Bug: https://lists.debian.org/debian-med/2026/02/msg00018.html
Bug-Debian: https://bugs.debian.org/1127756#25
Forwarded: not-needed.
Last-Update: 2026-02-17

The issue is known upstream and supposed to be fixed in an upcoming
version.
Last-Update: 2026-02-17
Gbp-Pq: Name skip-bigendian-roundtrip-failure.patch

Remove version

Forwarded: not-needed
Bug-Debian: https://bugs.debian.org/1098944
Last-Update: 2025-03-21

Gbp-Pq: Name remove_version.patch

Don't add executables to cmake exports

Bug-Debian: https://bugs.debian.org/803304
Forwarded: not-needed

CMake exports are used by other packages that compile
and link against dcmtk. Because Debian moves some of
these executables and also dosn't install the test
executables, this import may fail leading to failure
to configure the according package.

Gbp-Pq: Name 07_dont_export_all_executables.patch

The original maintainer Jürgen Salk applied

Forwarded: not-needed

a set of patches to the original code.  This file contains
changes to C++ code

Gbp-Pq: Name 01_dcmtk_3.6.0-1.patch

d/changelog: ready for upload to unstable.

CVE-2026-12805.patch: new: fix CVE-2026-12805.

This patch fixes a risk of buffer overflow by ensuring negative error
codes in XMLNode::parseFile are properly handled, as well a NULL
values.

Closes: #1140562

d/changelog: ready for urgent upload to unstable.

Make fast forward from 3.7.0+really3.7.0-4

[dgit --quilt=gbp]

Fixed remote heap buffer overflow in dcmqrscp.

Applied-Upstream: 0f78a4ef6f645ea5530166e445e5436a5de58e75
Last-Update: 2026-05-04
Bug: https://support.dcmtk.org/redmine/issues/1206
Bug-Debian: https://bugs.debian.org/1139181
Reviewed-By: Étienne Mollier <emollier@debian.org>
Thanks to 'elp3pinill0' for the bug report, detailed
analysis, proof of concept and proposed fix.

Gbp-Pq: Name CVE-2026-10194.patch

Sanitize all strings passed to the exec options.

Applied-Upstream: edbb085e45788dccaf0e64d71534cfca925784b8
Last-Update: 2026-03-21
Bug: https://support.dcmtk.org/redmine/issues/1194
Bug-Debian: https://bugs.debian.org/1133001
Reviewed-By: Étienne Mollier <emollier@debian.org>
Sanitize the text fields from incoming DICOM associations and DICOM objects
(such as Study Instance UID, SOP Instance UID, Patient's Name) and the
calling SCU's network presentation address by removing special characters
that may be interpreted as shell escape characters when one of the
execution options (e.g. --exec-on-reception) is in use.

Thanks to Machine Spirits UG (haftungsbeschränkt) for the bug report,
detailed analysis and proof of concept.

This closes DCMTK issue #1194.

Gbp-Pq: Name CVE-2026-5663.patch

[PATCH] Added support for GNU Hurd in OFgetExecutablePath().

Thanks to Pino Toscano (GitHub user pinotree) for the pull request.

This closes GitHub PR #137.

Gbp-Pq: Name hurd.patch

skip test failure on big endian systems.

Bug: https://lists.debian.org/debian-med/2026/02/msg00018.html
Bug-Debian: https://bugs.debian.org/1127756#25
Forwarded: not-needed.
Last-Update: 2026-02-17

The issue is known upstream and supposed to be fixed in an upcoming
version.
Last-Update: 2026-02-17
Gbp-Pq: Name skip-bigendian-roundtrip-failure.patch

Remove version

Forwarded: not-needed
Bug-Debian: https://bugs.debian.org/1098944
Last-Update: 2025-03-21

Gbp-Pq: Name remove_version.patch

Don't add executables to cmake exports

Bug-Debian: https://bugs.debian.org/803304
Forwarded: not-needed

CMake exports are used by other packages that compile
and link against dcmtk. Because Debian moves some of
these executables and also dosn't install the test
executables, this import may fail leading to failure
to configure the according package.

Gbp-Pq: Name 07_dont_export_all_executables.patch

The original maintainer Jürgen Salk applied

Forwarded: not-needed

a set of patches to the original code.  This file contains
changes to C++ code

Gbp-Pq: Name 01_dcmtk_3.6.0-1.patch

d/control: add myself to uploaders.

CVE-2026-10194.patch: new: fix CVE-2026-10194.

Closes: #1139181

d/changelog: ready for upload to unstable.

Make fast forward from 3.7.0+really3.7.0-3

[dgit --quilt=gbp]

Sanitize all strings passed to the exec options.

Applied-Upstream: edbb085e45788dccaf0e64d71534cfca925784b8
Last-Update: 2026-03-21
Bug: https://support.dcmtk.org/redmine/issues/1194
Bug-Debian: https://bugs.debian.org/1133001
Reviewed-By: Étienne Mollier <emollier@debian.org>
Sanitize the text fields from incoming DICOM associations and DICOM objects
(such as Study Instance UID, SOP Instance UID, Patient's Name) and the
calling SCU's network presentation address by removing special characters
that may be interpreted as shell escape characters when one of the
execution options (e.g. --exec-on-reception) is in use.

Thanks to Machine Spirits UG (haftungsbeschränkt) for the bug report,
detailed analysis and proof of concept.

This closes DCMTK issue #1194.

Gbp-Pq: Name CVE-2026-5663.patch

[PATCH] Added support for GNU Hurd in OFgetExecutablePath().

Thanks to Pino Toscano (GitHub user pinotree) for the pull request.

This closes GitHub PR #137.

Gbp-Pq: Name hurd.patch

skip test failure on big endian systems.

Bug: https://lists.debian.org/debian-med/2026/02/msg00018.html
Bug-Debian: https://bugs.debian.org/1127756#25
Forwarded: not-needed.
Last-Update: 2026-02-17

The issue is known upstream and supposed to be fixed in an upcoming
version.
Last-Update: 2026-02-17
Gbp-Pq: Name skip-bigendian-roundtrip-failure.patch

Remove version

Forwarded: not-needed
Bug-Debian: https://bugs.debian.org/1098944
Last-Update: 2025-03-21

Gbp-Pq: Name remove_version.patch

Don't add executables to cmake exports

Bug-Debian: https://bugs.debian.org/803304
Forwarded: not-needed

CMake exports are used by other packages that compile
and link against dcmtk. Because Debian moves some of
these executables and also dosn't install the test
executables, this import may fail leading to failure
to configure the according package.

Gbp-Pq: Name 07_dont_export_all_executables.patch

The original maintainer Jürgen Salk applied

Forwarded: not-needed

a set of patches to the original code.  This file contains
changes to C++ code

Gbp-Pq: Name 01_dcmtk_3.6.0-1.patch

Revert "CVE-2026-10528-partial.patch: new: fix needed by orthanc."

The change is causing an ABI breakage that is going to require a
transition.  It is more appropriate to wait for the 3.7.1 release and
coordinate the transition on a sane basis.  In the meantime the change
is undone.

This reverts commit 5d6c0649ddf534d574f7c64245f13a9924400245.

d/changelog: ready for team upload.

d/changelog: ready for upload to unstable.

Declare fast forward from 3.7.0+really3.7.0-2

[dgit --quilt=gbp --overwrite]

Add sequence nesting depth limit for parsing

Applied-Upstream: 885ff0f10372bd589b5f44cea974f28a3964cb0f
Last-Update: 2026-04-11
Bug: https://support.dcmtk.org/redmine/issues/1191
Bug-Debian: https://bugs.debian.org/1138713
Reviewed-By: Étienne Mollier <emollier@debian.org>
Track sequence nesting depth on DcmInputStream during parsing. When the
depth exceeds a configurable limit, parsing is aborted with
EC_NestingDepthLimitExceeded. This prevents stack overflow from
excessively nested DICOM sequences.

The default limit is controlled by the compile-time macro
DCMTK_MAX_SEQUENCE_NESTING (default: 64). It can be overridden per parse
operation via the runtime API:

- DcmInputStream::setMaxNestingDepth() for direct stream access
- DcmItem::setMaxNestingDepth() (inherited by DcmDataset) for loadFile()
  and read()
- DcmFileFormat::setMaxNestingDepth() for loadFile() and read(),
  forwarded to the contained dataset
- DcmSCP::setMaxNestingDepth() and DcmSCU::setMaxNestingDepth() for
  datasets received over the network via receiveDIMSEDataset()

The runtime setter uses Sint32 semantics:
  0 = compile-time default, -1 = unlimited, >0 = limit

Note: the specific EC_NestingDepthLimitExceeded error code is not yet
surfaced through the DIMSE layer; DIMSE_receiveDataSetInMemory() maps
all parse errors to DIMSE_RECEIVEFAILED.

Thanks to the IN-CYPHER OSS Security Team for the report, detailed
analysis and proof of concept.

This closes DCMTK Bug #1191.

Gbp-Pq: Name CVE-2026-10528-partial.patch

Sanitize all strings passed to the exec options.

Applied-Upstream: edbb085e45788dccaf0e64d71534cfca925784b8
Last-Update: 2026-03-21
Bug: https://support.dcmtk.org/redmine/issues/1194
Bug-Debian: https://bugs.debian.org/1133001
Reviewed-By: Étienne Mollier <emollier@debian.org>
Sanitize the text fields from incoming DICOM associations and DICOM objects
(such as Study Instance UID, SOP Instance UID, Patient's Name) and the
calling SCU's network presentation address by removing special characters
that may be interpreted as shell escape characters when one of the
execution options (e.g. --exec-on-reception) is in use.

Thanks to Machine Spirits UG (haftungsbeschränkt) for the bug report,
detailed analysis and proof of concept.

This closes DCMTK issue #1194.

Gbp-Pq: Name CVE-2026-5663.patch

[PATCH] Added support for GNU Hurd in OFgetExecutablePath().

Thanks to Pino Toscano (GitHub user pinotree) for the pull request.

This closes GitHub PR #137.

Gbp-Pq: Name hurd.patch

skip test failure on big endian systems.

Bug: https://lists.debian.org/debian-med/2026/02/msg00018.html
Bug-Debian: https://bugs.debian.org/1127756#25
Forwarded: not-needed.
Last-Update: 2026-02-17

The issue is known upstream and supposed to be fixed in an upcoming
version.
Last-Update: 2026-02-17
Gbp-Pq: Name skip-bigendian-roundtrip-failure.patch

Remove version

Forwarded: not-needed
Bug-Debian: https://bugs.debian.org/1098944
Last-Update: 2025-03-21

Gbp-Pq: Name remove_version.patch

Don't add executables to cmake exports

Bug-Debian: https://bugs.debian.org/803304
Forwarded: not-needed

CMake exports are used by other packages that compile
and link against dcmtk. Because Debian moves some of
these executables and also dosn't install the test
executables, this import may fail leading to failure
to configure the according package.

Gbp-Pq: Name 07_dont_export_all_executables.patch

The original maintainer Jürgen Salk applied

Forwarded: not-needed

a set of patches to the original code.  This file contains
changes to C++ code

Gbp-Pq: Name 01_dcmtk_3.6.0-1.patch

d/changelog: update the changelog.

CVE-2026-10528-partial.patch: new: fix needed by orthanc.

This patch introduce the part of the mitigation against CVE-2026-10528
affecting orthanc that needs to be applied on the side of dcmtk.  See
also Debian bug #1138713.

CVE-2026-5663.patch: new: fix CVE-2026-5663.

This change introduces guardrails to prevent risks of shell code
injection.

Closes: #1133001

Merge version 3.7.0+really3.7.0-1+rpi1 and 3.7.0+really3.7.0-2 to produce 3.7.0+really3.7.0-2+rpi1

d/changelog: initialise the changelog.

Merge remote-tracking branch 'pino/hurd'

release

Record dcmtk (3.7.0+really3.7.0-2) in archive suite sid

Merge dcmtk (3.7.0+really3.7.0-2) import into refs/heads/workingbranch

skip test failure on big endian systems.

Bug: https://lists.debian.org/debian-med/2026/02/msg00018.html
Bug-Debian: https://bugs.debian.org/1127756#25
Forwarded: not-needed.
Last-Update: 2026-02-17

The issue is known upstream and supposed to be fixed in an upcoming
version.
Last-Update: 2026-02-17
Gbp-Pq: Name skip-bigendian-roundtrip-failure.patch

skip test failure on big endian systems.

Bug: https://lists.debian.org/debian-med/2026/02/msg00018.html
Bug-Debian: https://bugs.debian.org/1127756#25
Forwarded: not-needed.
Last-Update: 2026-02-17

The issue is known upstream and supposed to be fixed in an upcoming
version.
Last-Update: 2026-02-17
Gbp-Pq: Name skip-bigendian-roundtrip-failure.patch

Remove version

Forwarded: not-needed
Bug-Debian: https://bugs.debian.org/1098944
Last-Update: 2025-03-21

Gbp-Pq: Name remove_version.patch

Remove version

Forwarded: not-needed
Bug-Debian: https://bugs.debian.org/1098944
Last-Update: 2025-03-21

Gbp-Pq: Name remove_version.patch

Don't add executables to cmake exports

Bug-Debian: https://bugs.debian.org/803304
Forwarded: not-needed

CMake exports are used by other packages that compile
and link against dcmtk. Because Debian moves some of
these executables and also dosn't install the test
executables, this import may fail leading to failure
to configure the according package.

Gbp-Pq: Name 07_dont_export_all_executables.patch

Don't add executables to cmake exports

Bug-Debian: https://bugs.debian.org/803304
Forwarded: not-needed

CMake exports are used by other packages that compile
and link against dcmtk. Because Debian moves some of
these executables and also dosn't install the test
executables, this import may fail leading to failure
to configure the according package.

Gbp-Pq: Name 07_dont_export_all_executables.patch

The original maintainer Jürgen Salk applied

Forwarded: not-needed

a set of patches to the original code.  This file contains
changes to C++ code

Gbp-Pq: Name 01_dcmtk_3.6.0-1.patch

The original maintainer Jürgen Salk applied

Forwarded: not-needed

a set of patches to the original code.  This file contains
changes to C++ code

Gbp-Pq: Name 01_dcmtk_3.6.0-1.patch

dcmtk (3.7.0+really3.7.0-2) unstable; urgency=medium

  * Team upload.
  * Use dh-cruft to register obsolete files to purge
  * Update standards version to 4.7.4, no changes needed.

  [ Luca Boccassi ]
  * Stop deleting system user/group on remove/purge
  * Install and use sysusers.d/tmpfiles.d config files

[dgit import unpatched dcmtk 3.7.0+really3.7.0-2]

dcmtk (3.7.0+really3.7.0-2) unstable; urgency=medium

  * Team upload.
  * Use dh-cruft to register obsolete files to purge
  * Update standards version to 4.7.4, no changes needed.

  [ Luca Boccassi ]
  * Stop deleting system user/group on remove/purge
  * Install and use sysusers.d/tmpfiles.d config files

[dgit import unpatched dcmtk 3.7.0+really3.7.0-2]

Import dcmtk_3.7.0+really3.7.0-2.debian.tar.xz

[dgit import tarball dcmtk 3.7.0+really3.7.0-2 dcmtk_3.7.0+really3.7.0-2.debian.tar.xz]

Import dcmtk_3.7.0+really3.7.0-2.debian.tar.xz

[dgit import tarball dcmtk 3.7.0+really3.7.0-2 dcmtk_3.7.0+really3.7.0-2.debian.tar.xz]

Update standards version to 4.7.4, no changes needed.

Upgrade checklist verified:
 4.7.3 → 4.7.4:
  * Package is not in non-free-firmware

Changes-By: lintian-brush
Fixes: lintian: source: out-of-date-standards-version 4.7.3 (released 2025-12-23) (current is 4.7.4.1)
See-also: https://lintian.debian.org/tags/out-of-date-standards-version.html

use dh-cruft to register obsolete files to purge

Install and use sysusers.d/tmpfiles.d config files

sysusers.d/tmpfiles.d config files allow a package to use declarative
configuration instead of manually written maintainer scripts.
This also allows image-based systems to be created with /usr/ only, and
also allows for factory resetting a system and recreating /etc/ on boot.

https://www.freedesktop.org/software/systemd/man/latest/sysusers.d.html

Stop deleting system user/group on remove/purge

Removing system users/groups on purge is considered bad practice,
as the kernel recycles UIDs/GIDs. So any potential leftover
file/directory can then become owned by the next user/group that
gets added, with unpredictable consequences.

Merge version 3.7.0+really3.6.9-1+rpi1 and 3.7.0+really3.7.0-1 to produce 3.7.0+really3.7.0-1+rpi1

d/changelog: start transition to unstable.

Declare fast forward from 3.7.0+really3.6.9-1

[dgit --quilt=gbp --overwrite]

skip test failure on big endian systems.

Bug: https://lists.debian.org/debian-med/2026/02/msg00018.html
Bug-Debian: https://bugs.debian.org/1127756#25
Forwarded: not-needed.
Last-Update: 2026-02-17

The issue is known upstream and supposed to be fixed in an upcoming
version.
Last-Update: 2026-02-17
Gbp-Pq: Name skip-bigendian-roundtrip-failure.patch

Remove version

Forwarded: not-needed
Bug-Debian: https://bugs.debian.org/1098944
Last-Update: 2025-03-21

Gbp-Pq: Name remove_version.patch

Don't add executables to cmake exports

Bug-Debian: https://bugs.debian.org/803304
Forwarded: not-needed

CMake exports are used by other packages that compile
and link against dcmtk. Because Debian moves some of
these executables and also dosn't install the test
executables, this import may fail leading to failure
to configure the according package.

Gbp-Pq: Name 07_dont_export_all_executables.patch

The original maintainer Jürgen Salk applied

Forwarded: not-needed

a set of patches to the original code.  This file contains
changes to C++ code

Gbp-Pq: Name 01_dcmtk_3.6.0-1.patch

Merge version 3.6.9-6+rpi1 and 3.7.0+really3.6.9-1 to produce 3.7.0+really3.6.9-1+rpi1

d/changelog: document drop of Breaks+Replaces.

d/control: drop libdcmtk20 breaking and replacing libdcmtk19.

After examination of the situation, the stanza was needed against the
faulty 3.7.0-1, but it is not needed on 3.7.0+really3.6.9-1.

d/changelog: initialize the changelog.

d/u/metadata: eprint → Eprint.

skip-bigendian-roundtrip-failure.patch: short form BTS URI.

d/copyright: provide working links to the AFPL.

The original link from the legal text broke some time ago.
The AFPL does not have to apply in that context anyways.

d/changelog: ready for experimental upload.

skip-bigendian-roundtrip-failure.patch: new: skip test failure on s390x.

The correction is work in progress upstream.

Import dcmtk_3.7.0+really3.7.0.orig.tar.gz

[dgit import orig dcmtk_3.7.0+really3.7.0.orig.tar.gz]

Import dcmtk_3.7.0+really3.7.0.orig.tar.gz

[dgit import orig dcmtk_3.7.0+really3.7.0.orig.tar.gz]

d/changelog: update the changelog.

d/control: libdcmtk20 replaces libdcmtk19.

d/changelog: initialize for experimental upload.

d/*: soname bump to libdcmtk20.

Declare fast forward from 3.7.0-1

[dgit --quilt=gbp --overwrite]

Fixed issue with commit 7ad81d69b.

Applied-Upstream: 3de96da6cd66b1af7224561c568bc3de50cd1398
Last-Update: 2025-08-18
Reviewed-By: Étienne Mollier <emollier@debian.org>
Fixed an issue with recently committed changes that fix a problem with
invalid YBR_FULL images

Gbp-Pq: Name 0014-CVE-2025-9732.patch

Fixed issue with invalid "YBR_FULL" DICOM images.

Applied-Upstream: 7ad81d69b19714936e18ea5fc74edaeb9f021ce7
Reviewed-By: Étienne Mollier <emollier@debian.org>
Last-Update: 2025-08-15

Fixed an issue when processing an invalid DICOM image with a Photometric
Interpretation of "YBR_FULL" and a Planar Configuration of "1" where
the number of pixels stored does not match the expected number of pixels
(much too less). Now, the pixel data of such an image is not processed
at all, but an empty image (black pixels) is created instead. The user
is warned about this by an appropriate log message.

Thanks to Ding zhengzheng <xiaozheng.ding399@gmail.com> for the report
and the sample file (PoC).

Gbp-Pq: Name 0013-CVE-2025-9732.patch

Fixed segfault in JPEG-LS decoder.

X-Git-Url: http://git.dcmtk.org/?p=dcmtk.git;a=commitdiff_plain;h=3239a791542e1ea433d23aaa9e0a05a532ffabff;hp=92fc86e9e8d0808880bcc82e25982b2a61323cb8

Fixed segfault in JPEG-LS decoder.

Fixed a bug in the JPEG-LS decoder that led to a segmentation fault if invalid
input data was processed, due to insufficient validation of input data.

Thanks to Ding zhengzheng <xiaozheng.ding399@gmail.com> for the report
and the sample file (PoC).

This closes DCMTK issue #1155.

Gbp-Pq: Name 0012-CVE-2025-2357.patch

CVE-2025-25472

commit 410ffe2019b9db6a8f4036daac742a6f5e4d36c2
Author: Joerg Riesmeier <dicom@jriesmeier.com>
Date:   Fri Jan 17 17:53:50 2025 +0100

    Fixed another issue with invalid mono images.

    Fixed issue when rendering an invalid monochrome DICOM image where the
    number of pixels stored does not match the expected number of pixels.
    In this case, only a single pixel is processed, but the pixel matrix is
    much larger. Filling the rest of the pixel matrix with the smallest
    possible value for the image is not working because of an optimized
    memory usage (value would be out of range). Now, the pixel value to be
    used is double-checked before it is actually filled into the "background"
    of the image.

    Thanks to Ding zhengzheng <xiaozheng.ding399@gmail.com> for the report
    and the sample file (PoC).

Gbp-Pq: Name 0011-CVE-2025-25472.patch

CVE-2025-25474

commit 1d205bcd307164c99e0d4bbf412110372658d847
Author: Joerg Riesmeier <dicom@jriesmeier.com>
Date:   Tue Jan 21 11:12:28 2025 +0100

    Fixed another issue with invalid DICOM images.

    Fixed issue when processing an invalid DICOM image where the number of
    pixels stored does not match the expected number of pixels (too less)
    and the combination of BitsAllocated and BitsStored is really unusual
    (e.g. 1 bit stored, but 52 bits allocated). In cases where the last
    pixel (e.g. a single bit) does not fit into the buffer of the input
    pixel data, a buffer overflow occurred on the heap. Now, the last entry
    of the buffer is filled with the smallest possible value (e.g. 0 in case
    of unsigned data).

    Thanks to Ding zhengzheng <xiaozheng.ding399@gmail.com> for the report
    and the sample file (PoC).

Gbp-Pq: Name 0010-CVE-2025-25474.patch

CVE-2025-25475

commit bffa3e9116abb7038b432443f16b1bd390e80245
Author: Marco Eichelberg <eichelberg@offis.de>
Date:   Thu Jan 23 15:51:21 2025 +0100

    Fixed issue with invalid RLE compressed DICOM images.

    Fixed issue when processing an RLE compressed image where the RLE header
    contains an invalid stripe size.

    Thanks to Ding zhengzheng <xiaozheng.ding399@gmail.com> for the report
    and the sample file (PoC).

Gbp-Pq: Name 0009-CVE-2025-25475.patch

Added check to make sure: HighBit < BitsAllocated.

Forwarded: https://git.dcmtk.org/?p=dcmtk.git;a=commit;h=03e851b0586d05057c3268988e180ffb426b2e03
Bug-Debian: https://bugs.debian.org/1093047
Reviewed-By: Étienne Mollier <emollier@debian.org>
Last-Update: 2025-01-18

Added check to the image preprocessing to make sure that the value of
HighBit is always less than the value of BitsAllocated. Before, this
missing check could lead to memory corruption if an invalid combination
of values was retrieved from a malformed DICOM dataset.

Thanks to Emmanuel Tacheau from the Cisco Talos team
<vulndiscovery@external.cisco.com> for the report, sample file (PoC)
and detailed analysis. See TALOS-2024-2121 and CVE-2024-52333.

Gbp-Pq: Name 0008-CVE-2024-52333.patch

Fixed issue rendering invalid monochrome image.

Forwarded: https://git.dcmtk.org/?p=dcmtk.git;a=commit;h=89a6e399f1e17d08a8bc8cdaa05b2ac9a50cd4f6
Bug-Debian: https://bugs.debian.org/1093043
Reviewed-By: Étienne Mollier <emollier@debian.org>
Last-Update: 2025-01-18

Fixed issue when rendering an invalid monochrome DICOM image where the
number of pixels stored does not match the expected number of pixels.
If the stored number is less than the expected number, the rest of the
pixel matrix for the intermediate representation was always filled with
the value 0. Under certain, very rare conditions, this could result in
memory problems reported by an Address Sanitizer (ASAN). Now, the rest
of the matrix is filled with the smallest possible value for the image.

Thanks to Emmanuel Tacheau from the Cisco Talos team
<vulndiscovery@external.cisco.com> for the original report, the sample
file (PoC) and further details. See TALOS-2024-2122 and CVE-2024-47796.

Gbp-Pq: Name 0007-CVE-2024-47796.patch

Remove version

Forwarded: not-needed
Bug-Debian: https://bugs.debian.org/1098944
Last-Update: 2025-03-21

Gbp-Pq: Name remove_version.patch

Don't add executables to cmake exports

Bug-Debian: https://bugs.debian.org/803304
Forwarded: not-needed

CMake exports are used by other packages that compile
and link against dcmtk. Because Debian moves some of
these executables and also dosn't install the test
executables, this import may fail leading to failure
to configure the according package.
===================================================================

Gbp-Pq: Name 07_dont_export_all_executables.patch