Ravie Lakshmanan 20 Eki 2026 Açıklık / Kurumsal Güvenlik
Siber güvenlik araştırmacıları, Fortinet FortiSIEM'i etkileyen ve keyfi kod çalıştırılmasına yol açabilen yakın zamanda yamalanmış kritik bir güvenlik açığı için kanıt-üretimi PoC exploit'i yayınladı.
Açıklık, CVE-2026-106173 olarak izleniyor ve CVSS puanı 9.4 ile değerlendiriliyor. Açık, özel olarak hazırlanmış paketler aracılığıyla kimliği doğrulanmamış bir saldırganın yetkisiz kod veya komutları çalıştırmasına izin verebilecek kritik bir yol geçişi açığı.
Açık için yamalar Fortinet tarafından geçen hafta aşağıdaki sürümlerde yayınlandı
FortiSIEM 7.5.0 (7.5.1 veya üzerine yükseltin)
FortiSIEM 7.6 (Etkilenmedi)
Horizon3.ai'ye göre sorun, TCP port 27918'de dinleyen gRPC hizmetine kimliği doğrulanmamış bir saldırganın bağlanması ve açığı kullanarak amaçlanan dizin dışındaki mevcut bir dosyayı üzerine yazması ve keyfi dosya yazma ilkesini uzaktan kod çalıştırma haline dönüştürmesi içeriyor.
"FortiSIEM gRPC QueryResultReq işleyici, uygun yol doğrulaması olmadan güvenilmeyen meta verileri işler," dedi Horizon3.ai. "gRPC'nin HTTP/2 ve HPACK kodlama katmanları içinde hem yol geçişi dizilerini (../) hem de NUL-bayt enjeksiyonunu içeren meta veri oluşturarak bir saldırgan dosya sistemine keyfi dosyalar yazabilir."
Sorun, SendQueryResult() adlı bir işlev içindeki güvensiz yol oluşturma durumundan kaynaklanıyor; bu işlev kullanıcı tarafından sağlanan "query-id" parametresini yeterli doğrulama olmadan doğrudan geçiriyor.
Başka bir deyişle saldırgan bu açığı kullanarak "../" gibi dizin geçişi dizilerini ekleyebilir ve bu dizinden çıkabilir. Ancak bu, saldırganın kendi seçtiği bir dizine gitmesine ve yazmasına izin verir, ancak dosya adı seçemez çünkü program otomatik olarak kendi dosya adını "result-<kaynak IP adresi>-0-0-<id>.dat" şeklinde ekler; burada <id> sunucu tarafından kontrol edilen bir sayaç değeridir.
İşte ikinci bir zayıflık devreye giriyor: bir null bayt ("\0") "query-id" parametresine gömülebilir; bu da işletim sisteminin bunu bir dize sonlandırıcı olarak yorumlamasına ve sonrasındaki her şeyi atmasına neden olur. Bu da yol dosya açma işlevine geçirildiğinde eklenen dosya adı sonekinin yoksayılmasıyla sonuçlanır.
Bir saldırgan bu davranışı, "\0"ın üzerine yazılacak gerçek dosya adından önce gelecek şekilde yerleştirildiği bir "query-id" değeri oluşturmak için kullanabilir – yani "../../../../../opt/charting/redishb.sh\0...". Söz konusu dosya, Redis hizmeti üzerinde sağlık kontrolleri yapan ve cron işi tarafından her 60 saniyede bir çalıştırılan bir kabuk betiğidir.
"Yazma, null bayttan önceki tam yola iner," dedi Horizon3.ai'de Baş Saldırı Mühendisi Zach Hanley. "Mevcut bir dosyaya yönlendirildiğinde, bu dosya yerinde üzerine yazar ve orijinal sahibi ve izinleri korur; ikinci bir varyant, tam bir adla tamamen yeni bir dosya oluşturmak için iki istek kullanır."
