Критическая уязвимость FortiSIEM получила публичный PoC-эксплойт для удаленного выполнения кода без аутентификации

Исследователи в области кибербезопасности выпустили эксплойт proof-of-concept (PoC) для недавно исправленной критической уязвимости безопасности, затрагивающей Fortinet FortiSIEM, которая может привести к выполнению произвольного кода. Уязвимость, отслеживаемая как CVE-2026-106173 (оценка CVSS: 9,4), представляет собой критическую уязвимость обхода каталога, которая может позволить неаутентифицированному злоумышленнику выполнить несанкционированный код или команды посредством специально сформированных пакетов. Исправления для этой уязвимости были выпущены Fortinet на прошлой неделе в следующих версиях. По данным Horizon3.ai, проблема заключается в том, что неаутентифицированный злоумышленник подключается к службе gRPC, прослушивающей TCP-порт 27918, и использует уязвимость для перезаписи существующего файла за пределами предполагаемого каталога, превращая возможность произвольной записи в файл в удаленное выполнение кода. «Обработчик gRPC QueryResultReq в FortiSIEM обрабатывает недоверенные метаданные без надлежащей проверки пути», — сообщили в Horizon3.ai. «Создавая метаданные, содержащие последовательности обхода пути (../) и инъекцию нулевого байта в слоях кодирования HTTP/2 и HPACK gRPC, злоумышленник может записывать произвольные файлы в файловую систему». Проблема возникает из-за небезопасного построения пути в функции SendQueryResult(), которая передает параметр “query-id”, поставляемый пользователем, напрямую без достаточной проверки. Другими словами, злоумышленник может использовать эту уязвимость для включения последовательностей обхода каталога, таких как “../”, и выхода из этого каталога. Однако это позволяет злоумышленнику перейти в выбранный им каталог и записывать в него, но не выбирать имя файла, поскольку программа автоматически добавляет собственное имя файла “result--0-0-.dat”, где — счетчик, управляемый сервером. Здесь вступает в игру вторая слабость: нулевой байт (“\0”) может быть внедрен в параметр “query-id”, что заставляет операционную систему интерпретировать его как терминатор строки и отбрасывать все, что следует за ним. Это, в свою очередь, приводит к тому, что добавленный суффикс имени файла игнорируется при передаче пути в функцию открытия файла. Злоумышленник может использовать это поведение для создания значения “query-id” с “\0”, расположенным так, что ему предшествует фактическое имя файла, которое нужно перезаписать, — например, “../../../../../opt/charting/redishb.sh\0…”. Упомянутый файл представляет собой скрипт оболочки, который выполняет проверку работоспособности службы Redis и запускается каждые 60 секунд с помощью cron. «Запись попадает в точный путь, предшествующий нулевому байту», — сказал Зак Хэнли, главный инженер по атакам в Horizon3.ai. «При указании на существующий файл он перезаписывается на месте, сохраняя исходного владельца и разрешения; второй вариант использует два запроса для создания совершенно нового файла с точным именем».

Всегда имейте в виду, что редакции могут придерживаться предвзятых взглядов в освещении новостей.