FortiSIEM: Öffentlicher PoC für kritische RCE-Schwachstelle veröffentlicht
Cybersecurity-Forscher haben einen Proof-of-Concept-Exploit für eine kürzlich behobene kritische Schwachstelle in Fortinet FortiSIEM veröffentlicht. Die Lücke kann laut der vorliegenden Analyse zu beliebiger Codeausführung führen. Damit steigt der praktische Handlungsdruck für Betreiber der betroffenen FortiSIEM-Version, weil der technische Angriffsweg nun öffentlich beschrieben ist.
Die Schwachstelle trägt die Kennung CVE-2026-106173 und wird mit einem CVSS-Wert von 9,4 bewertet. Es handelt sich um eine Pfadüberquerung, die ein nicht authentifizierter Angreifer über speziell präparierte Pakete ausnutzen kann. Der Fehler betrifft nach den veröffentlichten Versionsangaben FortiSIEM 7.5.0. Diese Version sollte auf 7.5.1 oder höher aktualisiert werden; FortiSIEM 7.6 ist laut der Angabe nicht betroffen.
Für den Angriff muss der Angreifer eine Verbindung zum gRPC-Dienst auf TCP-Port 27918 herstellen. Anschließend kann die Verarbeitung manipulierten Metadaten zufolge dazu missbraucht werden, Dateien außerhalb des vorgesehenen Verzeichnisses zu überschreiben oder anzulegen. Der entscheidende Fehler liegt dabei in der unzureichenden Prüfung eines vom Angreifer kontrollierten Parameters.
Der veröffentlichte technische Ablauf kombiniert zwei Eigenschaften der Verarbeitung. Über Pfadbestandteile wie ../ lässt sich das Zielverzeichnis verlassen. Zusätzlich kann ein Nullbyte im Parameter dafür sorgen, dass der nachfolgende, vom Programm angehängte Dateiname beim Öffnen der Datei nicht mehr berücksichtigt wird. So kann ein Angreifer laut der Analyse auf eine bereits vorhandene Datei zielen.
Als konkretes Ziel beschreibt die Analyse ein Shell-Skript für Zustandsprüfungen des Redis-Dienstes, das über einen Cron-Job regelmäßig ausgeführt wird. Wird diese Datei überschrieben, könnte der Angriffsweg dadurch in Codeausführung überführt werden. Die Belege beschreiben den Mechanismus und das mögliche Ergebnis, liefern aber keine Angaben zu tatsächlich beobachteten Angriffen oder kompromittierten Systemen.
Betreiber sollten deshalb zunächst prüfen, ob FortiSIEM 7.5.0 eingesetzt wird, und diese Version auf FortiSIEM 7.5.1 oder höher aktualisieren. Für FortiSIEM 7.6 weist die veröffentlichte Versionsübersicht keine Betroffenheit aus. Weitere Maßnahmen wie eine konkrete Netzsperre oder ein alternativer Workaround lassen sich aus dem vorliegenden Beleg nicht ableiten.