21.10.2025

BDU:2025-16066 (CVE-2022-4981) — уязвимость функции DcmQueryRetrieveConfig:readPeerList компонента dcmqrscp библиотеки для работы с форматом DICOM DCMTK

По данным БДУ ФСТЭК России, по состоянию на 22.09.2026.

Низкий — 3.3/10 Публичный эксплойт Устранена

Уязвимость функции DcmQueryRetrieveConfig:readPeerList компонента dcmqrscp библиотеки для работы с форматом DICOM DCMTK связана с ошибками при освобождении ресурсов. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании

Кого касается и что делать

Уязвимое ПО: Astra Linux Special Edition (ООО «РусБИТех-Астра») — версии 1.7, 4.7, 1.8; DCMTK (DICOM) — версии до 3.6.8; ОСОН ОСнова Оnyx (АО «НППКТ») — версии до 2.15
Что делать: уязвимость устранена производителем — применить исправления: github.com, wiki.astralinux.ru, wiki.astralinux.ru
Эксплойт: существует в открытом доступе — приоритет обновления внеочередной

Сведения об уязвимости

Идентификаторы	BDU:2025-16066 · CVE-2022-4981
Уровень опасности	Низкий (базовая оценка CVSS 3.1 — 3.3; CVSS 2.0 — 1.7)
Вектор CVSS 3.1	AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:L нужен локальный доступ, низкая сложность, нужны права пользователя, без участия пользователя, ограниченное влияние на доступность
Наименование ФСТЭК	Уязвимость функции DcmQueryRetrieveConfig:readPeerList компонента dcmqrscp библиотеки для работы с форматом DICOM DCMTK, позволяющая нарушителю вызвать отказ в обслуживании
Даты	Опубликована: 18.12.2025 · Обновлена ФСТЭК: 22.09.2026 · Выявлена: 21.10.2025
Статус уязвимости	Подтверждена производителем (производитель признал уязвимость)
Наличие эксплойта	Существует в открытом доступе (код атаки общедоступен, риск эксплуатации повышен)
Информация об устранении	Уязвимость устранена (исправление выпущено производителем; способ: обновление программного обеспечения)
Тип ошибки	CWE-404 — некорректная зачистка или освобождение ресурсов
Класс уязвимости	Уязвимость кода · Способ эксплуатации: исчерпание ресурсов

Уязвимое ПО

Astra Linux Special Edition (ООО «РусБИТех-Астра») — версии 1.7, 4.7, 1.8 · операционная система
DCMTK (DICOM) — до 3.6.8 · прикладное ПО информационных систем
ОСОН ОСнова Оnyx (АО «НППКТ») — до 2.15 · операционная система

Возможные меры по устранению уязвимости

Обновление. Использование рекомендаций

Для DCMTK: github.com/DCMTK/dcmtk/commit/957fb31e5d96f51ecf5cb3422c7…
Для ОС Astra Linux: обновить пакет dcmtk до 3.6.4-2.1+deb10u2+ci3r1 или более высокой версии, используя рекомендации производителя: wiki.astralinux.ru/astra-linux-se17-bulletin-2025-1202SE17
Для ОС Astra Linux: обновить пакет dcmtk до 3.6.4-2.1+deb10u2+ci4 или более высокой версии, используя рекомендации производителя: wiki.astralinux.ru/astra-linux-se47-bulletin-2025-1216SE47
Для ОС Astra Linux: обновить пакет dcmtk до 3.6.7-9~deb12u3+ci2 или более высокой версии, используя рекомендации производителя: wiki.astralinux.ru/astra-linux-se18-bulletin-2026-0224SE18
Для ОСОН ОСнова Оnyx: Обновление программного обеспечения dcmtk до версии 3.6.5-1+deb11u6

Источники

Автор: ФСТЭК России

Аккаунт для добавления уязвимостей с банка данных угроз безопасности информации ФСТЭК России. Не является оф. аккаунтом ФСТЭК России.

Комментарии: