Fortisiem da Fortinet Sob Ataque com Exploit Público

Vulnerabilidade crítica com nota 9.4 permite executar código sem autenticação por meio de uma falha de travessia de caminho

Exploit público para falha crítica no FortiSIEM

De acordo com o The Hacker News, pesquisadores de segurança divulgaram um exploit funcional (proof-of-concept, ou PoC) para uma vulnerabilidade crítica no produto FortiSIEM, da Fortinet. O defeito, rastreado como CVE-2026-106173, tem pontuação CVSS de 9.4 e permitiria a um atacante sem credenciais executar código ou comandos não autorizados por meio de pacotes especialmente criados.

A falha é classificada como travessia de caminho (path traversal). Segundo a análise da empresa Horizon3.ai citada no texto, o problema ocorre quando um atacante não autenticado se conecta ao serviço gRPC que escuta na porta TCP 27918 e explora a falha para sobrescrever um arquivo existente fora do diretório previsto, convertendo uma escrita arbitrária de arquivo em execução remota de código.

Ponto a ponto: como o exploit funciona

De acordo com a análise da Horizon3.ai, o problema está no manipulador gRPC ‘QueryResultReq’, que processa metadados não confiáveis sem a devida validação de caminho. Ao incluir sequências de travessia de diretório (‘../’) e injeção de byte nulo nas camadas de codificação HTTP/2 e HPACK do gRPC, um atacante consegue escrever arquivos arbitrários no sistema de arquivos.

A origem é uma construção insegura de caminho dentro de uma função chamada ‘SendQueryResult()’, que recebe um parâmetro ‘query-id’ fornecido pelo usuário e o usa diretamente, sem validação suficiente. Esse defeito permite incluir sequências como ‘../’ para escapar do diretório previsto. A limitação é que o programa adiciona automaticamente um nome de arquivo no formato ‘result-<ip da origem>-0-0-<id>.dat’, onde ‘<id>’ é um contador controlado pelo servidor.

É onde entra a segunda fragilidade: um byte nulo (”) pode ser inserido no parâmetro ‘query-id’, fazendo o sistema operacional interpretá-lo como terminador de string e descartar tudo o que vem depois. Assim, o sufixo de nome de arquivo adicionado automaticamente é ignorado quando o caminho é passado à função de abertura de arquivo.

Combinando os dois defeitos, um atacante pode montar um valor de ‘query-id’ com um ” posicionado de modo a preceder o caminho real a ser sobrescrito. Um dos alvos documentados é um script shell que realiza verificações de saúde do serviço Redis, executado por um job agendado a cada 60 segundos.

De acordo com Zach Hanley, Chief Attack Engineer da Horizon3.ai, citado pelo veículo, a escrita ocorre exatamente no caminho que precede o byte nulo. “Apontado a um arquivo existente, isso o sobrescreve no lugar, mantendo o proprietário original e as permissões; uma segunda variante usa duas requisições para criar um novo arquivo com um nome exato”, disse ele.

Contexto

A Fortinet lançou correções para a falha na semana anterior à publicação do relatório, segundo o The Hacker News. A divulgação de um exploit funcional para uma vulnerabilidade assim encurta a janela de exposição e reforça a importância de manter atualizado o software de segurança utilizado em perímetro de rede.

Fonte: The Hacker News