MONAI : valeurs DICOM invalides pouvant perturber ou interrompre l’inférence

Veille sécuritéBackend & données

P3Critique

Un fichier DICOM conçu à cet effet peut provoquer un plantage de MONAILabel ou fausser silencieusement les résultats d’inférence en faisant passer des valeurs NaN ou infinies dans le traitement spatial. Le problème tient à l’absence de validation de ces valeurs dans la chaîne pydicom/MONAI ; mettre MONAI à jour en version 1.6.1 ou ultérieure.

IdentifiantCVE-2026-48705

GravitéCritique

Exploitationnon connue / non déterminée

Correctif1.6.1

Source : GHSA-6hp3-vr39-rqw8 — MONAILabel Server Crash and Silent Inference Corruption via Crafted DICOM

Analyse technique

L’avis décrit l’acceptation de valeurs DS/IS invalides par pydicom et leur propagation par PydicomReader dans l’affine et l’inférence MONAI. Il attribue la plage affectée et la correction à MONAI, sans établir une correction pydicom distincte.

Impact, versions et correctif

Événement datéAvis publié le 2026-10-27T13:30:10Z, dans la période demandée.

ImpactUn téléversement DICOM non authentifié peut, selon l’avis et la configuration, provoquer une erreur ou un plantage d’inférence, ou corrompre ses résultats.

Versions affectéesMONAI < 1.6.1 ; l’avis indique que pydicom accepte ces valeurs de 0.9.7 à 3.0.2, sans établir que toutes ces versions sont affectées par le défaut de MONAILabel.

Version corrigée1.6.1

Exploitation activenon connue / non déterminée

PoC publicinconnu

CVSS9.3 · CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:N/I:H/A:L

Publication2026-10-27T13:30:10Z

Mise à jour2026-10-27T13:30:11Z

Action recommandée

Mettre à jour MONAI vers 1.6.1 ou une version ultérieure et valider les métadonnées DICOM avant leur utilisation en inférence.

Sources

GHSA-6hp3-vr39-rqw8 — MONAILabel Server Crash and Silent Inference Corruption via Crafted DICOM

Priorisation DFS : P3 · 1 source(s).