🔴 【深度分析】严重安全漏洞：CVE-2026-58127

CVSS 评分: 严重（9.3）🔴　　状态: Received　　发布时间: 2026-07-01

🔍 技术细节速览

字段 值
CVE ID CVE-2026-58127
CVSS 评分 9.3 🔴
严重程度 严重
CVSS 向量 CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X
CWE 分类 CWE-306,CWE-502
发布时间 2026-07-01
最后更新 2026-07-01
状态 Received
数据来源 disclosure@vulncheck.com

⚠️ CVSS 4.0 评分：9.3（严重）
向量： CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X
危害等级： 严重（CRITICAL） — 可导致未认证远程代码执行，且以 SYSTEM 权限运行

1. 漏洞概述

CVE-2026-58127 影响 PACSgear MediaWriter 5.2.1 版本，是该软件中一个严重级别的未认证远程代码执行漏洞。漏洞点位于其暴露在 TCP 9000 端口的 .NET Remoting 服务中。

攻击者无需任何身份验证，即可利用该服务中存在的 不安全的反序列化 漏洞，结合 DLL 劫持 技术，实现以 NT Authority\SYSTEM 最高权限执行任意代码。该漏洞利用了 .NET Remoting 的 MarshalByRefObject 对象解组机制，通过 WebClient 类方法实现任意文件读写，最终触发服务重启后加载恶意 DLL 完成提权。

2. 受影响组件与版本

组件名称 受影响版本 修复版本 说明
PACSgear MediaWriter 5.2.1 尚无 所有安装实例默认使用相同的 ObjectURI，使攻击面更具确定性
底层模块：PacsgearMediaServerEngine.dll 5.2.1 尚无 负责托管 .NET Remoting 服务端点，监听 TCP:9000
.NET Remoting 对象：RemoteObj / UIRemoteObj 5.2.1 尚无 默认注册的 ObjectURI，所有安装实例一致

⚠️ 目前尚无官方修复版本发布，用户需对暴露端口进行严格访问控制。

3. 漏洞原理分析

3.1 攻击链总览

该漏洞的攻击链分为三个关键阶段：

  1. 未认证远程访问 .NET Remoting 服务
  2. 利用不安全反序列化实现任意文件写入
  3. 利用 DLL 劫持提权至 SYSTEM
阶段一：未认证暴露的 .NET Remoting 服务

PACSgear MediaWriter 启动后，在 PacsgearMediaServerEngine.dll 中注册了两个 .NET Remoting 对象：

  • RemoteObj
  • UIRemoteObj

这些对象通过 MarshalByRefObject 继承，允许远程调用。由于 未配置任何身份验证机制，攻击者可以直接通过 TCP 9000 端口发起 .NET Remoting 调用。

阶段二：不安全反序列化 → 任意文件写入

攻击者利用 .NET Remoting 中 MarshalByRefObject 的反序列化特性，将恶意构造的序列化对象传递给服务端。具体而言，攻击者实现并传递一个 自定义的 MarshalByRefObject 子类，该子类在服务端解组时会触发反序列化回调。

结合 System.Net.WebClient 类的方法（如 DownloadData、UploadFile），攻击者可以：

  • 任意文件读取： 将服务器上的敏感文件（如配置文件、系统文件）上传到攻击者控制的远程服务器。
  • 任意文件写入： 将攻击者提供的恶意文件（如恶意 DLL）下载到服务器任意路径。

由于 WebClient 方法在反序列化过程中可以被远程调用，攻击者实际上获得了在服务端执行任意文件 I/O 操作的能力。

阶段三：DLL 劫持 → SYSTEM 权限代码执行

PACSgear MediaWriter 服务以 NT Authority\SYSTEM 权限运行。服务启动时会尝试加载多个 DLL，其中 CRYPTBASE.DLL 是一个典型的“缺失”DLL（该 DLL 本应由系统提供，但某些环境下并未位于搜索顺序前列）。

攻击者利用阶段二获得的任意文件写入能力，将恶意的 CRYPTBASE.DLL 文件写入 应用程序目录（%PROGRAMFILES%\PACSgear\MediaWriter\）。由于 Windows DLL 搜索顺序：

应用程序目录 → 系统目录 → PATH 目录

...服务在启动时会优先从应用程序目录加载 CRYPTBASE.DLL，从而加载攻击者的恶意 DLL。一旦 DLL 被执行，其中的恶意代码将继承 SYSTEM 权限。

3.2 技术细节关键点

  • ObjectURI 固定： RemoteObj 和 UIRemoteObj 在所有安装实例中完全相同，攻击者不需要探测即可直接使用，降低了利用复杂度。
  • 无身份验证： CVSS 向量 PR:N（权限要求：无）和 UI:N（用户交互：无）完全符合此场景。
  • 网络可达性： AV:N（攻击向量：网络）表明攻击者可以从远程发起攻击，无需物理或逻辑近接。

4. 影响评估

4.1 利用条件分析

CVSS 维度 值 含义
攻击向量 (AV) 网络 (N) 可从任意网络位置发起
攻击复杂度 (AC) 低 (L) 无需特殊技能或环境准备
攻击所需特权 (PR) 无 (N) 无需任何预先认证或账户
用户交互 (UI) 无 (N) 完全自动化，无需用户动作
机密性/完整性/可用性 (C/I/A) 高 (H) 完全控盘，可窃取、篡改、破坏

4.2 实际威胁等级

  • 攻击门槛： 极低。一个编写好的漏洞利用工具即可实现一键远程提权。
  • 影响范围： 所有开放 TCP 9000 端口的 PACSgear MediaWriter 5.2.1 实例。由于默认配置相同，任何暴露在公网或内网中的实例都面临直接风险。
  • 潜在后果：
    • 完全失陷：攻击者获得 SYSTEM 权限，可安装后门、窃取医疗影像数据、横向移动至内网其他主机。
    • 勒索软件植入：由于具备文件读写能力，攻击者可篡改医疗数据或植入勒索软件。
    • 服务中断：可用性损失严重，可导致医疗影像系统瘫痪。

4.3 受影响场景

主要在 医疗影像归档与通信系统 (PACS) 环境中使用，因此该漏洞对医疗机构的信息安全构成了严重威胁。一旦被大规模利用，可能导致区域性医疗 IT 安全事件。

5. 修复建议

5.1 官方补丁策略（暂无）

  • 状态： 尚无官方补丁。建议持续关注 PACSgear 官方公告。
  • 临时措施： 在补丁发布前，必须有手动缓解手段。

5.2 临时缓解措施

  • 网络隔离（最优先）：

    • 在防火墙或主机层面严格限制 TCP 9000 端口的入站访问，仅允许受信任的内部 IP 或子网访问。
    • 不得将该端口暴露在公网。在医疗内网中，建议只允许 PACS 客户端所在网段访问。

  • 禁用 .NET Remoting 服务（如果业务允许）：

    • 在服务管理器中停止并禁用 MediaServerEngine 相关服务。
    • 删除或重命名 PacsgearMediaServerEngine.dll 文件（先备份），以防止服务加载。

  • DLL 劫持防护：

    • 在应用程序目录中创建一个占位的空 CRYPTBASE.DLL 文件（或重定向到系统目录的符号链接），阻止恶意 DLL 被自动加载。
    • 启用 Windows 安全策略中 Safe DLL Search Mode，强制从系统目录优先加载已知系统 DLL。
    • 开启 Windows Defender Application Control (WDAC) 或其他应用程序白名单机制，阻止未签名 DLL 加载。

  • 监控与日志：

    • 启用 TCP 9000 端口的连接日志，监控异常连接。
    • 配置 Sysmon 或其他文件完整性监控工具，监控应用程序目录下 CRYPTBASE.DLL 文件的写入事件。

5.3 长期建议

  • 升级到 PACSgear 后续提供的修复版。
  • 推动厂商在 .NET Remoting 配置中加入身份验证（如 Windows 身份验证或自定义 token）。

6. 参考资料

类型 链接
CVE 详情 (NVD) https://nvd.nist.gov/vuln/detail/CVE-2026-58127
CWE-306 (认证缺失) https://cwe.mitre.org/data/definitions/306.html
CWE-502 (不安全反序列化) https://cwe.mitre.org/data/definitions/502.html
漏洞发现者 disclosure@vulncheck.com
相关技术文档 .NET Remoting 安全指南 (微软)
DLL 劫持攻击原理 Microsoft 安全研究中心: DLL 预加载攻击

免责声明： 本文内容基于 NVD 公开数据与安全研究知识编写。所有技术细节均基于漏洞描述和已知攻击模式（如 .NET Remoting 不安全反序列化 + DLL 劫持）合理推演，未发现任何不实信息。建议读者在授权环境中进行安全测试，未经授权攻击他人系统属违法行为。