FortiSIEM'de giriş gerektirmeden kod çalıştıran açık için çalışan exploit yayımlandı

FortiSIEM, kurumların güvenlik kayıtlarını topladığı, olayları ilişkilendirdiği ve alarm ürettiği bir SIEM (güvenlik bilgi ve olay yönetimi) ürünü. Bir kurumun ağındaki pek çok sistemden veri aldığı için, ele geçirilmesi saldırgana hem geniş bir görünürlük hem de içeride bir dayanak noktası veriyor.

Fortinet, CVE-2026-106173 numaralı açığı 13 Ekim’de FG-IR-26-180 bildirimiyle duyurdu. Bildirimin başlığı “grpc phQueryMaster’da rastgele dosya yazma”. Açık, Fortinet’in ürün güvenliği ekibinden Gwendal Guégniaud tarafından şirket içinde bulundu. CVSS puanı 9.4.

Açığın işleyişi

The Hacker News’in aktardığı Horizon3.ai teknik incelemesine göre zincir şöyle:

1. Saldırgan, kimlik doğrulaması olmadan 27918 numaralı TCP portundaki gRPC servisine bağlanıyor.
2. QueryResultReq işleyicisi, kullanıcıdan gelen query-id değerini yeterince denetlemeden SendQueryResult() fonksiyonunda dosya yolu oluşturmak için kullanıyor.
3. Değere eklenen ../ dizileriyle yazma işlemi hedeflenen klasörün dışına çıkarılıyor. Bu path traversal açığı.
4. Sunucu dosya adının sonuna sabit bir ek (result-<kaynak IP>-0-0-<id>.dat) koyuyor. query-id içine yerleştirilen bir NUL baytı (\0), işletim sisteminin adı orada kesmesini sağlıyor ve bu ek düşüyor. Böylece saldırgan dosyanın tam adını seçebiliyor.
5. Horizon3’e göre bu değerler gRPC’nin HTTP/2 ve HPACK kodlama katmanları içinde taşınıyor.

Örnek hedef olarak, Redis sağlık kontrolü yapan ve bir cron görevi tarafından her 60 saniyede bir çalıştırılan /opt/charting/redishb.sh betiği veriliyor. Bu dosyanın üzerine yazmak, bir sonraki zamanlanmış çalışmada saldırganın kodunun çalışmasını sağlıyor. Mevcut bir dosyanın üzerine yazıldığında dosyanın sahibi ve izinleri korunuyor. İki istekle tam istenen adla yeni bir dosya oluşturmak da mümkün.

Horizon3, PoC kodunu GitHub’da yayımladı.

Etkilenen sürümler

CVE kaydında 7.0 ile 7.4 arasındaki sürümler de etkilenen olarak listeleniyor. Ancak Fortinet’in bildirimindeki tabloda yalnızca 7.5.0 yer alıyor ve kaydın açıklaması da “FortiSIEM 7.5.0” diyor. Eski sürümleri kullananların Fortinet’in bildirimini takip etmesi yerinde olur.

Önerilen önlemler

• FortiSIEM 7.5.0 kullanıyorsanız 7.5.1 ya da sonrasına yükseltin.
• Hemen yükseltemiyorsanız, Fortinet’in önerdiği şekilde 27918 numaralı TCP portuna erişimi kısıtlayın.
• PoC artık herkesin elinde olduğu için, bu portun internete ya da geniş iç ağ bölümlerine açık olup olmadığını öncelikli olarak kontrol edin.