OHIF Viewers DICOM

CISA가 의료 영상 뷰어 OHIF의 DICOM 구성에서 토큰 탈취로 이어질 수 있는 SSRF 취약점(CVE)을 경고해 병원·헬스케어 시스템의 인증/데이터 접근 리스크가 부각됨.

• OHIF Viewers DICOM의 서버사이드 요청 위조(SSRF) 취약점으로 분류됨
• 영향 버전: OHIF DICOM Web Viewer Framework <=v3.12.0임
• CVE: CVE-2026-12473로 식별되며, CVSS 8.2로 고위험도임
• 기본 설정에 포함된 DICOMWebProxy 및 DICOMJSON 데이터 소스가 검증 없이 임의 URL 파라미터를 가져오는 동작이 문제로 지목됨
• OHIF의 전역 인증 서비스가 인증된 사용자의 OIDC Bearer 토큰을 요청에 자동 주입해, 조작된 링크를 통해 임상의 토큰이 외부로 전송·탈취될 수 있다는 시나리오가 제시됨
• 적용 범위: 중요 인프라 섹터 중 Healthcare and Public Health 대상으로 언급되며, 배포 지역은 Worldwide, 본사는 United States로 기재됨