Öffentlicher Exploit für kritische Remote-Code-Ausführungsschwachstelle in FortiSIEM veröffentlicht

Sicherheitsforscher haben einen funktionierenden Proof-of-Concept-Exploit für eine kritische Schwachstelle in der Fortinet-Plattform FortiSIEM veröffentlicht. Die als CVE-2026-106173 identifizierte Sicherheitslücke ermöglicht es nicht authentifizierten Angreifern, beliebigen Code auf betroffenen Systemen auszuführen. Fortinet hat letzte Woche Patches für das Problem veröffentlicht und Administratoren dringend aufgefordert, diese sofort zu installieren.

Was passiert ist

Die Schwachstelle weist einen CVSS-Score von 9,4 auf, was ein schwerwiegendes Risiko für Unternehmensumgebungen darstellt. Es handelt sich um eine Path-Traversal-Schwachstelle (Pfadtraversierung), die es einem Angreifer ermöglicht, Dateien an nicht autorisierten Orten im Dateisystem des Servers zu schreiben. Durch die Kombination dieser Schreibfunktion mit bestimmten Systemkonfigurationen kann ein Angreifer eine Remote-Code-Ausführung erreichen, ohne gültige Anmeldedaten zu benötigen.

Horizon3.ai hat die technischen Mechanismen des Exploits detailliert beschrieben. Das Problem liegt im gRPC-Dienst, der auf TCP-Port 27918 lauscht. Der Dienst verarbeitet Metadaten eingehender Anfragen, ohne die Dateipfade ordnungsgemäß zu validieren. Ein Angreifer kann speziell präparierte Pakete senden, die Verzeichnistraversierungssequenzen wie "../" enthalten, um das beabsichtigte Verzeichnis zu verlassen und sensible Systemdateien anzugreifen.

Der Exploit nutzt eine zweite Schwachstelle aus, die Null-Byte-Injection. Während die Anwendung jedem geschriebenen Datei ihren eigenen Namenssufffix anhängt, führt das Einbetten eines Null-Bytes ("\0") in die Anfrage dazu, dass das Betriebssystem alles nach diesem Zeichen ignoriert. Dies ermöglicht es dem Angreifer, den exakten Dateinamen und Pfad anzugeben und so vorhandene Skripte effektiv zu überschreiben oder neue bösartige Dateien zu erstellen.

Wichtige Details

• Schwachstellen-ID: CVE-2026-106173 mit einem CVSS-Score von 9,4.
• Betroffene Versionen: FortiSIEM 7.5.0 ist verwundbar; Benutzer müssen auf 7.5.1 oder höher aktualisieren.
• Nicht betroffene Versionen: FortiSIEM 7.6 ist von dieser spezifischen Schwachstelle nicht betroffen.
• Angriffsvektor: Nicht authentifizierter Zugriff über den gRPC-Dienst auf TCP-Port 27918.
• Exploit-Methode: Pfadtraversierung kombiniert mit Null-Byte-Injection im Parameter "query-id".
• Zieldatei: Der Proof-of-Concept überschreibt /opt/charting/redishb.sh, ein Redis-Health-Check-Skript, das von Cron alle 60 Sekunden ausgeführt wird.

Hintergrund

FortiSIEM ist ein Tool für Security Information and Event Management (SIEM), das von Organisationen zur Überwachung der Netzwerkaktivität und zur Erkennung von Bedrohungen eingesetzt wird. Wie viele Enterprise-Tools verlässt es sich auf Hintergrunddienste, um die Systemintegrität aufrechtzuerhalten und Daten zu verarbeiten. Ein solcher Dienst ist ein Cron-Job, ein zeitbasierter Scheduler in Unix-ähnlichen Betriebssystemen, der Skripte in festen Intervallen ausführt.

In diesem Fall führt das System jede Minute ein Shell-Skript namens redishb.sh aus, um den Status des Redis-Datenbankdienstes zu überprüfen. Da dieses Skript mit erhöhten Berechtigungen und nach einem vorhersagbaren Zeitplan läuft, wird es zu einem idealen Ziel für Angreifer. Wenn ein Angreifer dieses Skript mit bösartigem Code überschreiben kann, führt das System diesen Code automatisch innerhalb weniger Minuten aus und gewährt dem Angreifer die volle Kontrolle über den Server.

Die Verwendung von gRPC, einem Hochleistungs-Framework für Remote Procedure Calls, erhöht die Komplexität der Angriffsfläche. gRPC verwendet HTTP/2 für den Transport, das erweiterte Funktionen wie HPACK-Header-Kompression unterstützt. Der Exploit macht sich zunutze, wie diese Schichten Metadaten behandeln, wodurch der Angreifer schädliche Zeichen injizieren kann, die Standardvalidierungsprüfungen umgehen.

Warum das wichtig ist

Für Teams, die selbst gehostete Sicherheitsinfrastruktur betreiben, unterstreicht dieser Vorfall die Gefahr von nicht authentifizierten Diensten, die in internen Netzwerken exponiert sind. Selbst wenn ein Dienst nicht direkt vom Internet aus erreichbar ist, kann laterale Bewegung innerhalb eines Netzwerks Angreifern ermöglichen, Ports wie 27918 zu erreichen. Einmal im Inneren bedeutet das Fehlen einer Authentifizierung, dass keine Barrieren für das Senden bösartiger Pakete bestehen.

Die Abhängigkeit von Cron-Jobs für die Systemwartung schafft ein vorhersagbares Ausführungsfenster. Angreifer wissen genau, wann ihr bösartiger Code ausgeführt wird, was die Unsicherheit reduziert, die normalerweise mit Exploitation verbunden ist. Diese Vorhersagbarkeit macht die Schwachstelle besonders gefährlich, da sie einen Datei-Schreibfehler in einen zuverlässigen Vektor für Remote-Code-Ausführung verwandelt.

Darüber hinaus erhöht die öffentliche Verfügbarkeit eines Proof-of-Concept-Exploits das Risiko erheblich. Automatisierte Scanning-Tools und Akteure der Bedrohungslandschaft werden wahrscheinlich sofort beginnen, nach ungepatchten Instanzen zu suchen. Organisationen, die das Patching verzögern, setzen sich einem schnellen Kompromittierungsrisiko aus und könnten die Sichtbarkeit auf ihre eigenen Sicherheitsereignisse verlieren, falls das SIEM selbst kompromittiert wird.

Was Sie tun können

• Aktualisieren Sie Installationen von FortiSIEM 7.5.0 sofort auf Version 7.5.1 oder höher.
• Stellen Sie sicher, dass FortiSIEM 7.6-Bereitstellungen aktuell sind, obwohl sie von dieser spezifischen CVE nicht betroffen sind.
• Beschränken Sie den Netzwerkzugriff auf TCP-Port 27918 mithilfe von Firewalls oder Sicherheitsgruppen und lassen Sie nur vertrauenswürdige Management-IPs zu.
• Überwachen Sie Systemprotokolle auf unerwartete Änderungen an Dateien in /opt/charting/ oder anderen kritischen Verzeichnissen.
• Überprüfen Sie die Konfiguration der Cron-Jobs, um sicherzustellen, dass Skripte gegen unbefugtes Schreiben geschützt sind und strenge Berechtigungen haben.
• Implementieren Sie Netzwerksegmentierung, um laterale Bewegung einzuschränken und sicherzustellen, dass kompromittierte Endpunkte Management-Schnittstellen nicht leicht erreichen können.