Kimlik doğrulaması gerektirmeyen FortiSIEM path traversal açığı, cron betiği üzerinden kod çalıştırmaya imkân tanıyor

Ne oldu

Fortinet, 13 Ekim 2026'da FG-IR-26-180 numaralı danışma belgesiyle FortiSIEM'deki kritik bir açığı duyurdu. CVE-2026-106173 olarak takip edilen hata 7.5.0 sürümünü etkiliyor; hatayı 7.5.1 sürümü düzeltirken 7.6 sürümü ve FortiSIEM Cloud etkilenmiyor (hatanın dev.to üzerindeki analizine göre). 20 Ekim'de Horizon3.ai'deki güvenlik araştırmacıları danışma belgesinin ardından teknik bir inceleme ve çalışan bir proof of concept yayımlayarak üreticinin yama notunu çalışan bir gösterime dönüştürdü.

Güvenlik açığı bulunan bileşen, phQueryMaster adlı bir servis. TCP 27918 portunu dinleyen bu servis, diğer FortiSIEM bileşenlerinin sorgu sonuçlarını aktarmak için kullandığı bir gRPC arayüzü sunuyor. Buraya erişim herhangi bir kimlik doğrulaması gerektirmiyor ve dosya işleme hatasını ciddi bir soruna dönüştüren ayrıntı da tam olarak bu.

Dosya yazımından zamanlanmış çalıştırmaya

dev.to'daki yazının açıkladığı gibi phQueryMaster, çağıran tarafın verdiği sorgu tanımlayıcısından bir dosya yolu oluşturuyor ve bunu yeterince doğrulamıyor. İki zafiyet üst üste biniyor: tanımlayıcıdaki traversal dizileri yazma işlemini sonuçların tutulması gereken dizinin dışına yönlendiriyor ve servis sonuçta oluşan dosya adına kendi metnini eklemiş olsa da, işletim sisteminin bakış açısıyla tanımlayıcıdaki bir NUL byte yolu kesiyor. Birleşik etki, dosyanın saldırganın seçtiği herhangi bir konuma yazılması.

Horizon3, üzerine yazmaya değer dosya olarak /opt/charting/redishb.sh dosyasına işaret ediyor. Cron bu betiği dakikada bir kez yükseltilmiş ayrıcalıklarla çalıştırıyor; dolayısıyla betiği değiştiren bir saldırganın kodu bir sonraki turda çalışıyor.

Önem dereceleri kataloglar arasında hafifçe farklılık gösteriyor: NVD, CWE-22'yi 9.8 CVSS v3.1 temel puanıyla kayda geçirirken Fortinet'in danışma belgesi 9.4 veriyor. Ancak her iki sayı da, serviste kimlik doğrulamasının olmaması kadar önemli değil.

Saldırının neden görünmesi zor

Proof of concept belirli bir ustalık istiyor. Standart gRPC araçları ve yaygın HTTP kütüphaneleri NUL byte içeren header değerlerini reddettiği için saldırganın gRPC mesajını elle oluşturması gerekiyor. Bu, saldırıyı gerçekleştirebileceklerin sayısını azaltıyor ama aynı zamanda kötü amaçlı içeriği HTTP/2 frame gövdesinin içine yerleştirdiğinden, middleware'ler ve sıradan proxy logları şüpheli hiçbir şey yakalamayabiliyor.

Daha da kötüsü, istismarı doğrulayan bir log imzası görünmüyor. Horizon3, başarılı bir saldırıyı kanıtlayan uygulama log kaydı bulamadığını bildiriyor; bu da müdahale ekiplerini dosya sistemi kanıtına yönlendiriyor.

Etkilenen bir kurulumun incelenmesi

FortiSIEM 7.5.0 kullanan bir dağıtım için dev.to rehberi, /opt/charting/ altındaki dosya zaman damgalarına, öncelikle redishb.sh ile başlamayı öneriyor. Komşu dosyalarla veya bilinen yama etkinliğiyle tutarsık bir değişiklik zamanı daha yakın bir incelemeyi hak ediyor. Horizon3 ayrıca /opt/phoenix/bin/phLicenseTool dosyasını da kontrol etmeye değer buluyor.

Bir tutarsızlık yalnızca bir ipucu. Paket yükseltmeleri, konfigürasyon yönetimi çalışmaları ve destek oturumları da dosyalara dokunuyor; dolayısıyla asıl soru, değişikliğin bir değişiklik kaydında ya da paket yöneticisi logunda yer alıp almadığı.

Ağ kanıtı az ama hiç değil: TCP 27918 portuna yalnızca güvenilir SIEM bileşenlerinden erişilebilmesi gerektiğinden, uygulama logları temiz göründüğünde bile bu porta beklenmedik kaynaklardan gelen bağlantıları gösteren flow logları incelenmeyi hak ediyor.

Etkilenme alanının azaltılması

Çözüm 7.5.1 veya daha yeni bir sürüme yükseltmek. Bunun beklemek zorunda kaldığı durumlarda, TCP 27918 portunu gerçekten ihtiyaç duyan belirli sistemlerle kısıtlamak — hem north-south hem east-west yönünde — saldırıyı deneyebileceklerin sayısını sınırlıyor. dev.to yazısı, collector mimarilerinin çoğu zaman worker ve collector'ların o port üzerinden supervisor'a erişmesi gerektiği konusunda uyarıyor; yani uzun süredir var olan izin verici kurallar, tasarımın gerektirdiğinden çok daha fazla erişim tanıyor olabilir.

/opt/charting/ üzerinde dosya bütünlüğü izleme makul bir telafi edici kontrol — ve cron o dizinden ayrıcalıklı betikler çalıştırdığı için zaten var olması gereken bir kontrol olduğu da savunulabilir.

Neden önemli

Bir SIEM, riski yönettiği kadar yoğunlaştırır da: platform izlediği her şeyin kimlik bilgilerini saklar ve yönetim ağında yaşar. Bu hata, tespit aracının nasıl hedefe dönüştüğünü gösteriyor; çünkü SIEM'i ele geçirmek, tüm yapı genelinde görünürlüğün ve kimlik bilgilerinin ele geçirilmesi anlamına gelebiliyor.

Bu ayrıca Horizon3'ün üçüncü FortiSIEM açığı: öncekiler, her ikisi de phMonitor servisindeki CVE-2024-23108 ve CVE-2025-64155 idi; bu ise ayrı bir gRPC servisinde yer alıyor. Araştırmacıların çıkardığı ders şu: tek bir daemon'u sağlamlaştırmak cihazı sağlamlaştırmaz; her dinleyen servis kendi başına bir sınır oluşturur ve savunmacılar yalnızca o an gündemdeki olanı yamalamak yerine hepsini saymalı.