Critical FortiSIEM Flaw Gets Public Exploit PoC for Unauthenticated Remote Code Execution
The Hacker News · 20 oct, 17:38
Qué hacer: Actualiza FortiSIEM 7.5.0 a 7.5.1 o posterior de inmediato.
Fortinet ha parcheado una vulnerabilidad crítica en FortiSIEM (CVE-2026-106173, CVSS 9.4) que permite ejecutar código remoto sin autenticación. Investigadores han divulgado un PoC que aprovecha una falla de traversal de directorios en el servicio gRPC del producto, afectando principalmente a FortiSIEM 7.5.0 y versiones anteriores. El fallo permite a atacantes sobrescribir archivos críticos del sistema, incluyendo scripts ejecutados por cron, para lograr ejecución remota de código.
La vulnerabilidad afecta al manejador gRPC QueryResultReq de FortiSIEM, que procesa metadatos no validados de atacantes no autenticados que se conectan al puerto TCP 27918. La debilidad radica en la función SendQueryResult(), que pasa el parámetro "query-id" suministrado por el usuario sin validación suficiente, permitiendo secuencias de traversal de directorio (../) para escapar del directorio destinado.
La explotación combina dos debilidades: primero, la traversal de directorios permite navegar a cualquier directorio; segundo, la inyección de bytes nulos (\0) en el parámetro "query-id" termina la cadena prematuramente, descartando el sufijo de nombre de archivo que el programa añade automáticamente. Un atacante puede sobrescribir archivos específicos como "redishb.sh", un script de verificación del servicio Redis ejecutado cada 60 segundos por cron, logrando así ejecutar código arbitrario con permisos del servicio.
Puntos clave
- CVE-2026-106173: CVSS 9.4, unauthenticated RCE en FortiSIEM
- Actualiza FortiSIEM 7.5.0 a 7.5.1 o posterior; FortiSIEM 7.6 no está afectado
- Ataque no requiere credenciales, ocurre en puerto gRPC 27918
- PoC público disponible; aprovecha traversal de directorios + inyección de null bytes