Critical FortiSIEM Flaw Gets Public Exploit PoC for Unauthenticated Remote Code Execution

Vulnérabilité critique d’exécution de code à distance dans FortiSIEM

Un code d’exploitation (PoC) a été publié pour une faille critique affectant Fortinet FortiSIEM, permettant à un attaquant non authentifié d’exécuter du code arbitraire sur les systèmes vulnérables.

Points clés :

• Vecteur d’attaque : L’attaque cible le service gRPC écoutant sur le port TCP 27918.
• Mécanisme : La vulnérabilité repose sur un défaut de validation des entrées dans la fonction SendQueryResult(). En utilisant des séquences de traversée de répertoire (../) combinées à une injection de caractère nul (), un attaquant peut contourner les restrictions de chemin et écraser des fichiers système arbitraires.
• Impact : En écrasant des scripts système légitimes (comme ceux exécutés par des tâches cron), un attaquant peut obtenir une exécution de code à distance avec les privilèges du processus cible.

Vulnérabilité identifiée :

• CVE-2026-106173 (Score CVSS : 9.4) : Traversée de chemin menant à une écriture arbitraire de fichier et à une exécution de code à distance.

Recommandations :

• Mise à jour immédiate : Les utilisateurs de FortiSIEM 7.5.0 doivent impérativement migrer vers la version 7.5.1 ou supérieure.
• Statut des versions : FortiSIEM 7.6 n’est pas affecté par cette vulnérabilité.
• Surveillance : Il est conseillé de surveiller les connexions inhabituelles vers le port TCP 27918 et de vérifier l’intégrité des scripts système et des fichiers de configuration critiques sur les serveurs FortiSIEM.

Source