Vulnerabiliteti i FortiSIEM demonstrohet në një PoC publik për RCE
Vulnerabiliteti i FortiSIEM, i gjurmuar si CVE-2026-106173, mund t’i lejojë një sulmuesi të paautentikuar të ekzekutojë kod ose komanda në një sistem të prekur, ndërsa studiuesit e sigurisë kibernetike kanë publikuar tani një proof-of-concept (PoC) që tregon se si funksionon sulmi. Një PoC është kod demonstrues që konfirmon se një dobësi sigurie mund të shfrytëzohet. Vulnerabiliteti ka një vlerësim prej 9.4 në Common Vulnerability Scoring System (CVSS), duke e vendosur në kategorinë e ashpërsisë kritike.
Fortinet publikoi patches javën e kaluar dhe këshillon përdoruesit e FortiSIEM 7.5.0 të bëjnë upgrade në versionin 7.5.1 ose më të ri. FortiSIEM 7.6 renditet si i paprekur. Organizatat që përdorin versionin vulnerabël duhet ta konsiderojnë publikimin e metodës teknike si arsye për t’i dhënë përparësi upgrade, veçanërisht nëse shërbimi përkatës mund të arrihet nga sisteme që nuk duhet të kenë qasje në të.
Dobësia është një vulnerabilitet path traversal, që do të thotë se të dhënat hyrëse të kontrolluara nga sulmuesi mund ta drejtojnë software jashtë dosjes ku duhet të ruajë një skedar. Sipas Horizon3.ai, një sulmues i paautentikuar mund të lidhet me shërbimin gRPC të FortiSIEM në TCP port 27918. gRPC është një metodë që aplikacionet përdorin për të komunikuar me njëri-tjetrin, ndërsa një TCP port është një pikë hyrëse e numëruar në rrjet, e përdorur nga një shërbim i caktuar. Më pas, paketa të përgatitura posaçërisht mund të përdoren për të mbishkruar një skedar jashtë direktorisë së synuar.
Horizon3.ai e gjurmoi sjelljen e pasigurt te handler-i QueryResultReq dhe një funksion i quajtur SendQueryResult(). Handler-i përpunon metadata të dërguara përmes gRPC pa kontrolluar siç duhet shtegun përfundimtar të skedarit. Vlera query-id, e kontrolluar nga përdoruesi, i kalohet procesit të ndërtimit të shtegut, duke lejuar që sekuenca directory traversal si ../ të ngjiten nëpër dosje dhe të arrijnë një vendndodhje tjetër në file system. Të dhënat e përgatitura posaçërisht transmetohen përmes HTTP/2 dhe HPACK, protokolli dhe formati i compression që përdoren për lidhjen.
Vetëm path traversal nuk i jep sulmuesit kontroll të plotë mbi emrin e skedarit të destinacionit. FortiSIEM shton automatikisht një emër në formën result--0-0-.dat, ku identifikuesi përfundimtar krijohet nga një counter i kontrolluar nga server-i. Në kushte normale, kjo sjellje do ta kufizonte sulmuesin vetëm në zgjedhjen e një direktorie, ndërsa programi do të përcaktonte emrin real të skedarit që shkruhet.
PoC e anashkalon këtë kufizim duke vendosur një NUL byte brenda vlerës query-id. Një NUL byte është një vlerë e posaçme zero, të cilën shumë funksione të operating system e interpretojnë si fundin e një vargu teksti. Kur kodi i prekur ia kalon shtegun e plotë funksionit për hapjen e skedarit, operating system i shpërfill karakteret e shtuara automatikisht që vijnë pas NUL byte. Kështu, një sulmues mund ta vendosë emrin e dëshiruar të destinacionit menjëherë përpara këtij terminatori dhe të bëjë që shkrimi të përfundojë pikërisht në atë shteg.
Horizon3.ai e demonstroi teknikën kundër /opt/charting/redishb.sh, një shell script ekzistues që përdoret për të kryer health checks për shërbimin Redis. Një cron job, që është një detyrë e planifikuar në sistem, e ekzekuton atë script çdo 60 sekonda. Zëvendësimi i përmbajtjes së tij e shndërron aftësinë arbitrary file write në remote code execution, sepse script-i i ndryshuar ekzekutohet më pas nga detyra e planifikuar. Horizon3.ai zbuloi gjithashtu se mbishkrimi i një skedari ekzistues ruan pronarin dhe permissions origjinale të tij. Një variant i dytë përdor dy kërkesa për të krijuar një skedar të ri me emrin e saktë të zgjedhur nga sulmuesi.
Për ofruesit e hosting, bizneset dhe ekipet e IT-së, pyetja kryesore është nëse ndonjë mjedis i menaxhuar sigurie vazhdon të përdorë FortiSIEM 7.5.0 dhe nëse TCP port 27918 mund të arrihet nga një rrjet i pabesuar. Sulmi nuk kërkon llogari, prandaj kontrollet e zakonshme të login nuk e zgjidhin problemin e përpunimit vulnerabël të kërkesave. Update në versionin 7.5.1 ose më të ri eliminon nevojën për t’u mbështetur vetëm te kufizimet përreth në rrjet, ndërsa FortiSIEM 7.6 nuk është i prekur sipas udhëzimeve të publikuara për versionet.
Organizatat që kanë nevojë për ndihmë me shqyrtimin e sistemeve të ndjeshme ndaj sigurisë dhe planifikimin e upgrade mund të përdorin AEU-I për shërbime IT, infrastrukturë dhe konsulencë me sigurinë si përparësi. Pavarësisht se kush e menaxhon deployment, përparësia praktike është identifikimi i instalimeve të prekura, zbatimi i release së korrigjuar dhe konfirmimi se qasja në shërbimin gRPC kufizohet vetëm te sistemet që kanë vërtet nevojë për të.