Mã khai thác công khai được phát hành cho lỗ hổng thực thi mã từ xa nghiêm trọng trên FortiSIEM

Các nhà nghiên cứu bảo mật đã công bố một mã khai thác hoạt động được cho một lỗ hổng nghiêm trọng trên nền tảng FortiSIEM của Fortinet. Lỗ hổng này, được theo dõi với mã CVE-2026-106173, cho phép kẻ tấn công không cần xác thực thực thi mã tùy ý trên các hệ thống bị ảnh hưởng. Fortinet đã phát hành các bản vá cho vấn đề này vào tuần trước, kêu gọi quản trị viên cập nhật ngay lập tức.

Chuyện gì đã xảy ra

Lỗ hổng có điểm CVSS là 9.4, chỉ ra rủi ro nghiêm trọng đối với môi trường doanh nghiệp. Đây là một lỗi vượt thư mục (path traversal) cho phép kẻ tấn công ghi tệp vào các vị trí trái phép trên hệ thống tệp của máy chủ. Bằng cách kết hợp khả năng ghi tệp này với các cấu hình hệ thống cụ thể, kẻ tấn công có thể đạt được việc thực thi mã từ xa mà không cần thông tin đăng nhập hợp lệ.

Horizon3.ai đã trình bày chi tiết về cơ chế kỹ thuật của mã khai thác. Vấn đề nằm trong dịch vụ gRPC, lắng nghe trên cổng TCP 27918. Dịch vụ này xử lý siêu dữ liệu từ các yêu cầu đến mà không kiểm tra hợp lệ đường dẫn tệp đúng cách. Kẻ tấn công có thể gửi các gói tin được thiết kế đặc biệt chứa các chuỗi vượt thư mục, chẳng hạn như "../", để thoát khỏi thư mục dự kiến và nhắm mục tiêu vào các tệp hệ thống nhạy cảm.

Mã khai thác tận dụng một điểm yếu thứ hai liên quan đến việc chèn byte null. Trong khi ứng dụng tự động thêm hậu tố tên tệp của nó vào bất kỳ tệp nào được ghi, việc nhúng một byte null ("\0") vào yêu cầu khiến hệ điều hành bỏ qua mọi thứ sau ký tự đó. Điều này cho phép kẻ tấn công chỉ định chính xác tên tệp và đường dẫn, hiệu quả ghi đè các script hiện có hoặc tạo ra những script độc hại mới.

Chi tiết chính

• ID lỗ hổng: CVE-2026-106173 với điểm CVSS là 9.4.
• Phiên bản bị ảnh hưởng: FortiSIEM 7.5.0 dễ bị tổn thương; người dùng phải nâng cấp lên phiên bản 7.5.1 trở lên.
• Phiên bản không bị ảnh hưởng: FortiSIEM 7.6 không bị ảnh hưởng bởi lỗ hổng cụ thể này.
• Vector tấn công: Truy cập không cần xác thực thông qua dịch vụ gRPC trên cổng TCP 27918.
• Phương pháp khai thác: Vượt thư mục kết hợp với chèn byte null trong tham số "query-id".
• Tệp mục tiêu: Bản chứng minh khái niệm ghi đè /opt/charting/redishb.sh, một script kiểm tra tình trạng Redis được cron thực thi mỗi 60 giây.

Bối cảnh

FortiSIEM là một công cụ quản lý thông tin và sự kiện bảo mật được các tổ chức sử dụng để giám sát hoạt động mạng và phát hiện mối đe dọa. Giống như nhiều công cụ doanh nghiệp khác, nó dựa vào các dịch vụ chạy ngầm để duy trì sức khỏe hệ thống và xử lý dữ liệu. Một trong những dịch vụ như vậy là job cron, một bộ lập lịch dựa trên thời gian trong các hệ điều hành giống Unix chạy các script ở các khoảng thời gian cố định.

Trong trường hợp này, hệ thống chạy một shell script tên là redishb.sh mỗi phút để kiểm tra trạng thái của dịch vụ cơ sở dữ liệu Redis. Vì script này chạy với đặc quyền cao hơn và theo một lịch trình có thể đoán trước, nó trở thành mục tiêu lý tưởng cho kẻ tấn công. Nếu kẻ tấn công có thể ghi đè script này bằng mã độc, hệ thống sẽ tự động thực thi mã đó trong vòng vài phút, trao cho kẻ tấn công toàn quyền kiểm soát máy chủ.

Việc sử dụng gRPC, một khung gọi thủ tục từ xa hiệu suất cao, làm tăng độ phức tạp của bề mặt tấn công. gRPC sử dụng HTTP/2 cho truyền tải, hỗ trợ các tính năng nâng cao như nén tiêu đề HPACK. Mã khai thác tận dụng cách các lớp này xử lý siêu dữ liệu, cho phép kẻ tấn công chèn các ký tự độc hại để bỏ qua các bước kiểm tra hợp lệ tiêu chuẩn.

Tại sao điều này quan trọng

Đối với các đội ngũ vận hành hạ tầng bảo mật tự lưu trữ, sự cố này nhấn mạnh nguy hiểm của các dịch vụ không cần xác thực được phơi bày trên mạng nội bộ. Ngay cả khi một dịch vụ không trực tiếp truy cập được từ internet, chuyển động ngang trong mạng có thể cho phép kẻ tấn công tiếp cận các cổng như 27918. Một khi đã xâm nhập, việc thiếu xác thực nghĩa là không có rào cản nào để gửi các gói tin độc hại.

Việc phụ thuộc vào các job cron cho việc bảo trì hệ thống tạo ra một cửa sổ thực thi có thể đoán trước. Kẻ tấn công biết chính xác khi nào mã độc của chúng sẽ chạy, giảm bớt sự không chắc chắn thường liên quan đến việc khai thác. Tính có thể đoán trước này làm cho lỗ hổng đặc biệt nguy hiểm, vì nó biến một lỗi ghi tệp thành một vector thực thi mã từ xa đáng tin cậy.

Hơn nữa, việc công khai bản chứng minh khái niệm làm tăng đáng kể rủi ro. Các công cụ quét tự động và các tác nhân đe dọa có khả năng sẽ bắt đầu thăm dò các instance chưa được vá ngay lập tức. Các tổ chức trì hoãn việc vá lỗi để lộ mình vào nguy cơ bị xâm phạm nhanh chóng, có thể mất khả năng hiển thị vào các sự kiện bảo mật của chính họ nếu SIEM bị xâm phạm.

Bạn có thể làm gì

• Nâng cấp các cài đặt FortiSIEM 7.5.0 lên phiên bản 7.5.1 hoặc cao hơn ngay lập tức.
• Xác minh rằng các triển khai FortiSIEM 7.6 được cập nhật đầy đủ, mặc dù chúng không bị ảnh hưởng bởi CVE cụ thể này.
• Hạn chế truy cập mạng vào cổng TCP 27918 bằng tường lửa hoặc nhóm bảo mật, chỉ cho phép các IP quản lý đáng tin cậy.
• Giám sát nhật ký hệ thống để tìm kiếm các sửa đổi bất ngờ đối với các tệp trong /opt/charting/ hoặc các thư mục quan trọng khác.
• Xem xét cấu hình job cron để đảm bảo các script được bảo vệ chống lại các thao tác ghi trái phép và có quyền hạn nghiêm ngặt.
• Triển khai phân đoạn mạng để hạn chế chuyển động ngang, đảm bảo rằng các endpoint bị xâm phạm không thể dễ dàng tiếp cận các giao diện quản lý.