🔴 【深度分析】严重安全漏洞：CVE-2026-58126

CVSS 评分: 严重（9.3）🔴　　状态: Received　　发布时间: 2026-07-01

🔍 技术细节速览

字段 值
CVE ID CVE-2026-58126
CVSS 评分 9.3 🔴
严重程度 严重
CVSS 向量 CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X
CWE 分类 CWE-306,CWE-502
发布时间 2026-07-01
最后更新 2026-07-01
状态 Received
数据来源 disclosure@vulncheck.com

好的，作为一名资深网络安全分析师，我将基于您提供的 NVD 原始数据，为您撰写一篇关于 CVE-2026-58126 的深度漏洞分析文章。

⚠️ 高危预警
CVE ID: CVE-2026-58126
CVSS 评分: 9.3 (Severe)
CVSS 向量: CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N
危害等级: 严重 (Critical)

漏洞概述

CVE-2026-58126 是一个存在于 PACSgear PACS Scan 5.2.1 版本中的严重安全漏洞。该漏洞允许未经身份验证的远程攻击者在目标系统上以 NT Authority\SYSTEM 的最高权限执行任意代码。其核心问题在于软件暴露了一个未受保护的 .NET Remoting TCP 服务接口，攻击者可利用该服务进行任意文件写入，随后通过 DLL 劫持技术实现权限提升和代码执行，最终完全控制受影响的医疗影像信息系统。

该漏洞的 CVSS 4.0 评分高达 9.3，属于严重级别，对医疗行业的网络安全构成了直接且重大的威胁。

受影响组件与版本

  • 受影响产品: PACSgear PACS Scan
  • 受影响版本: 5.2.1 及更早版本（根据漏洞描述推断）
  • 受影响组件:
    • PGImageExchQueue.exe (暴露 .NET Remoting TCP 服务)
    • PGImageExchangeQueueSvc.exe (服务进程，存在 DLL 劫持风险)

漏洞原理分析

此漏洞是一个典型的“链式利用”组合漏洞，包含两个关键环节：未授权任意文件写入 和 DLL 劫持。

1. 未授权任意文件写入 (CWE-306: 关键功能认证缺失 & CWE-502: 不可信数据的反序列化)

  • 攻击向量 (AV:N): 攻击者无需网络访问特权，可直接通过网络发起攻击。
  • 攻击复杂度 (AC:L): 利用方式直接，不需要绕过复杂的防护机制。
  • 权限要求 (PR:N) 与 用户交互 (UI:N): 攻击过程无需任何身份验证，也无需受害者进行任何点击或操作，完全自动化。

PACSgear PACS Scan 在端口 22222 上监听了一个用于进程间通信的 .NET Remoting TCP 服务。该服务由 PGImageExchQueue.exe 实现，其设计目的是为了处理图像队列。然而，此服务接口未实施任何身份验证机制。

根据漏洞描述，攻击者可以通过构造并发送特制的 .NET Remoting 请求（这本身就是一种反序列化过程），利用暴露的服务方法来实现任意文件的写入操作。这意味着攻击者可以将任意内容写入到目标系统文件系统的任意路径中。这是整个攻击链的基石。

2. 通过 DLL 劫持实现远程代码执行

在能够写入任意文件后，攻击者利用了软件自身的一个不安全设计——不安全 DLL 加载。

  • 目标进程: PGImageExchangeQueueSvc.exe
  • 劫持目标: 该服务在启动时，会尝试从应用程序目录加载一些 Windows 系统动态链接库 (DLL)，例如 CRYPTSP.DLL。然而，该服务在加载这些 DLL 时，没有采用安全的搜索路径顺序（如直接从系统目录 C:\\Windows\\System32 加载），而是先在自身所在的应用目录下搜索。

攻击者利用第一步获得的任意文件写入能力，将一个恶意的 CRYPTSP.DLL 文件写入到 PGImageExchangeQueueSvc.exe 所在的应用程序目录中。

当服务重启时（攻击者可能通过 CreateService API 或等待系统重启触发），PGImageExchangeQueueSvc.exe 会优先加载同目录下的恶意 CRYPTSP.DLL，从而使攻击者的代码在服务进程中被执行。

3. 权限提升到 SYSTEM

由于 PGImageExchangeQueueSvc.exe 通常以高权限（如 NT Authority\SYSTEM）运行，攻击者注入的恶意 DLL 代码将继承该权限。这使得攻击者能够获得操作系统的最高控制权。

影响评估

评估维度 评估结果 说明
攻击复杂度 低 (Low) 无需复杂网络环境，无需用户交互，利用手段成熟。
所需权限 无 (None) 攻击者在发起攻击前无需任何系统访问权限。
利用前提 网络可达 攻击者需要能够通过网络访问目标主机的 22222 端口。
潜在后果 完全失控 攻击者可以获得服务器的 SYSTEM 权限，实现：
• 机密性破坏 (VC:H): 窃取所有 PACS 系统中的患者影像数据和临床信息。
• 完整性破坏 (VI:H): 篡改医疗影像、诊断报告，可能导致误诊。
• 可用性破坏 (VA:H): 停用关键服务、部署勒索软件，导致医疗业务中断。
• 横向移动: 以该服务器为跳板，攻击内网其他医疗信息系统。
行业风险 极高 医疗机构是关键基础设施，此类漏洞一旦被利用，会造成严重的社会影响。

修复建议

鉴于漏洞的严重性，建议受影响机构立即采取行动：

1. 终极修复：升级软件版本

  • 行动: 立即联系 PACSgear 官方支持，确认是否存在修复此漏洞的新版本（5.2.2 或更高），并尽快安排升级。
  • 预期结果: 彻底移除或修复不安全的 .NET Remoting 服务和 DLL 加载行为。

2. 临时缓解措施（在无法立即升级的情况下）

网络层缓解（首选）
  • 行动: 在防火墙上配置严格的访问控制列表 (ACL)，禁止任何未经授权的 IP 地址访问目标主机的 TCP/22222 端口。如果业务不需要从外部访问此端口，应将其完全在内网中隔离，或仅对受信任的 PACS 工作站开放。
  • 预期结果: 从网络层面阻断攻击路径，防止外部攻击者直接发起攻击。
主机层缓解（增强防护）
  • 行动: 在 Windows 服务器上启用 Windows Defender 应用程序控制 (WDAC) 或 AppLocker 策略，限制 PGImageExchangeQueueSvc.exe 只能从 C:\\Windows\\System32 等受信任的系统路径中加载 DLL，阻止从未授权的应用程序目录加载 DLL。
  • 行动: 修改 PGImageExchangeQueueSvc.exe 加载关键系统 DLL 的方式，如通过修改注册表 KnownDLLs 或使用安全加载 API 的配置，但这通常需要厂商支持。作为临时方案，可确保应用目录的权限设置极为严格，仅允许 SYSTEM 和 Administrators 有写入权限，防止普通服务账户写入恶意 DLL。
  • 行动: 部署具备入侵检测/防御 (IDS/IPS) 功能的网络安全设备，监控针对 22222 端口的异常 .NET Remoting 通信流量。

3. 监测与排查

  • 行动: 检查服务器 C:\\Program Files\\PACSgear\\PACS Scan\\（或软件实际安装目录）下是否存在非原始的 CRYPTSP.dll 等文件。对比文件的数字签名、创建时间和 MD5 哈希值。
  • 行动: 检查 Windows 安全事件日志，关注服务创建、服务状态更改以及异常的进程创建事件。

参考资料