FortiSIEM: opublikowano kod wykorzystania krytycznej luki bez logowania

Horizon3.ai opublikowało 20 października analizę i demonstracyjny kod wykorzystania CVE-2026-106173 w FortiSIEM. Luka pozwala napastnikowi bez uwierzytelnienia doprowadzić do wykonania kodu na podatnym systemie. Nowością jest publiczne pokazanie sposobu ataku; producent udostępnił poprawkę wcześniej.

Co ujawnili badacze

Problem dotyczy usługi gRPC nasłuchującej na porcie TCP 27918. Nieprawidłowe sprawdzanie ścieżki pozwala zapisywać pliki poza przewidzianym katalogiem. Badacze pokazali, jak połączyć tę możliwość z nadpisaniem pliku wykonywanego przez system i uzyskać zdalne wykonanie kodu.

Analizę Horizon3.ai niezależnie opisał The Hacker News. Publikacja kodu demonstracyjnego ułatwia odtworzenie ataku, dlatego administratorzy powinni ponownie sprawdzić wdrożenie dostępnej poprawki. Publiczny kod wykorzystania nie jest jednak dowodem, że luka jest już wykorzystywana przeciw organizacjom.

Które instalacje sprawdzić

Według opisu aktualizacji FortiSIEM 7.5.0 wymaga przejścia na wersję 7.5.1 lub nowszą. Linia 7.6 została wskazana jako niepodatna. Informacji tej nie należy rozszerzać na wszystkie historyczne wydania bez sprawdzenia dokumentacji producenta.

FortiSIEM służy do obsługi informacji i zdarzeń bezpieczeństwa. Z tego względu administratorzy powinni ocenić również połączenia takiego serwera z pozostałą infrastrukturą. Dostępność podatnej usługi z innych segmentów sieci jest istotna także wtedy, gdy urządzenie nie ma publicznego adresu.

Co zrobić teraz

Poniższe kroki są zaleceniami obronnymi redakcji:

• Potwierdzić wersję każdego serwera FortiSIEM i sprawdzić, czy obejmuje go komunikat producenta.
• Zaktualizować podatne wydanie 7.5.0 do 7.5.1 lub nowszego zgodnie z dokumentacją.
• Zweryfikować dostęp do TCP 27918 z internetu i z sieci wewnętrznych; ograniczyć go do niezbędnych połączeń.
• Zachować dzienniki oraz sprawdzić nieoczekiwane zmiany plików, zadania cykliczne i procesy.
• W razie oznak naruszenia uruchomić obsługę incydentu. Sama instalacja poprawki nie wyjaśnia wcześniejszej aktywności.

Komentarz SecurHUB

Narzędzia bezpieczeństwa również wymagają ograniczania dostępu i terminowych aktualizacji. Testy penetracyjne mogą pomóc sprawdzić, czy usługi administracyjne są osiągalne z nieprzewidzianych części sieci.

Źródła: Horizon3.ai, The Hacker News