Publication d'un exploit public pour une faille critique d'exécution de code à distance dans FortiSIEM

Des chercheurs en sécurité ont publié un exploit fonctionnel sous forme de preuve de concept pour une vulnérabilité critique dans la plateforme FortiSIEM de Fortinet. Le défaut, identifié sous le nom CVE-2026-106173, permet à des attaquants non authentifiés d'exécuter du code arbitraire sur les systèmes affectés. Fortinet a publié des correctifs pour ce problème la semaine dernière, exhortant les administrateurs à mettre à jour immédiatement.

Ce qui s'est passé

La vulnérabilité présente un score CVSS de 9,4, indiquant un risque grave pour les environnements d'entreprise. Il s'agit d'une faille de parcours de chemin (path traversal) qui permet à un attaquant d'écrire des fichiers dans des emplacements non autorisés du système de fichiers du serveur. En combinant cette capacité d'écriture de fichiers avec des configurations système spécifiques, un attaquant peut parvenir à l'exécution de code à distance sans avoir besoin d'identifiants valides.

Horizon3.ai a détaillé les mécanismes techniques de l'exploit. Le problème réside dans le service gRPC, qui écoute sur le port TCP 27918. Le service traite les métadonnées des requêtes entrantes sans valider correctement les chemins de fichiers. Un attaquant peut envoyer des paquets spécialement conçus contenant des séquences de parcours de répertoire, telles que "../", pour échapper au répertoire prévu et cibler des fichiers système sensibles.

L'exploit exploite une seconde faiblesse impliquant l'injection d'octet nul. Alors que l'application ajoute sa propre extension de nom de fichier à tout fichier écrit, l'intégration d'un octet nul ("\0") dans la requête amène le système d'exploitation à ignorer tout ce qui suit ce caractère. Cela permet à l'attaquant de spécifier exactement le nom de fichier et le chemin, écrasant ainsi efficacement des scripts existants ou créant de nouveaux scripts malveillants.

Détails clés

• ID de la vulnérabilité : CVE-2026-106173 avec un score CVSS de 9,4.
• Versions affectées : FortiSIEM 7.5.0 est vulnérable ; les utilisateurs doivent effectuer une mise à niveau vers la version 7.5.1 ou ultérieure.
• Versions non affectées : FortiSIEM 7.6 n'est pas touchée par ce défaut spécifique.
• Vecteur d'attaque : Accès non authentifié via le service gRPC sur le port TCP 27918.
• Méthode d'exploitation : Parcours de chemin combiné à une injection d'octet nul dans le paramètre "query-id".
• Fichier cible : La preuve de concept écrase /opt/charting/redishb.sh, un script de vérification de santé Redis exécuté par cron toutes les 60 secondes.

Contexte

FortiSIEM est un outil de gestion des informations et des événements de sécurité utilisé par les organisations pour surveiller l'activité réseau et détecter les menaces. Comme de nombreux outils d'entreprise, il repose sur des services en arrière-plan pour maintenir la santé du système et traiter les données. L'un de ces services est une tâche cron, un planificateur basé sur le temps dans les systèmes d'exploitation de type Unix qui exécute des scripts à intervalles fixes.

Dans ce cas, le système exécute un script shell nommé redishb.sh chaque minute pour vérifier l'état du service de base de données Redis. Parce que ce script s'exécute avec des privilèges élevés et selon un calendrier prévisible, il devient une cible idéale pour les attaquants. Si un attaquant peut remplacer ce script par du code malveillant, le système exécutera automatiquement ce code en quelques minutes, donnant à l'attaquant un contrôle total sur le serveur.

L'utilisation de gRPC, un framework d'appel de procédure à distance haute performance, ajoute de la complexité à la surface d'attaque. gRPC utilise HTTP/2 pour le transport, qui prend en charge des fonctionnalités avancées comme la compression d'en-tête HPACK. L'exploit tire parti de la manière dont ces couches traitent les métadonnées, permettant à l'attaquant d'injecter des caractères nocifs qui contournent les contrôles de validation standard.

Pourquoi c'est important

Pour les équipes gérant une infrastructure de sécurité auto-hébergée, cet incident met en évidence le danger des services non authentifiés exposés sur les réseaux internes. Même si un service n'est pas directement accessible depuis Internet, le mouvement latéral au sein d'un réseau peut permettre aux attaquants d'atteindre des ports comme le 27918. Une fois à l'intérieur, l'absence d'authentification signifie qu'il n'y a aucune barrière pour envoyer des paquets malveillants.

Le recours aux tâches cron pour la maintenance du système crée une fenêtre d'exécution prévisible. Les attaquants savent exactement quand leur code malveillant sera exécuté, réduisant l'incertitude généralement associée à l'exploitation. Cette prévisibilité rend la vulnérabilité particulièrement dangereuse, car elle transforme une erreur d'écriture de fichier en un vecteur fiable d'exécution de code à distance.

De plus, la publication publique d'une preuve de concept augmente considérablement le risque. Les outils de scan automatisés et les acteurs de la menace commenceront probablement à sonder les instances non corrigées immédiatement. Les organisations qui retardent la correction s'exposent à une compromission rapide, risquant potentiellement de perdre la visibilité sur leurs propres événements de sécurité si le SIEM lui-même est compromis.

Que pouvez-vous faire

• Mettez à niveau immédiatement les installations FortiSIEM 7.5.0 vers la version 7.5.1 ou supérieure.
• Vérifiez que les déploiements FortiSIEM 7.6 sont à jour, bien qu'ils ne soient pas affectés par ce CVE spécifique.
• Restreignez l'accès réseau au port TCP 27918 à l'aide de pare-feu ou de groupes de sécurité, en n'autorisant que les adresses IP de gestion approuvées.
• Surveillez les journaux système pour détecter toute modification inattendue des fichiers dans /opt/charting/ ou d'autres répertoires critiques.
• Passez en revue les configurations des tâches cron pour vous assurer que les scripts sont protégés contre les écritures non autorisées et disposent de permissions strictes.
• Implémentez la segmentation réseau pour limiter le mouvement latéral, garantissant que les points de terminaison compromis ne peuvent pas facilement atteindre les interfaces de gestion.