Falha grave no FortiSIEM permite execução remota de código sem autenticação
Pesquisadores de cibersegurança divulgaram um exploit de prova de conceito para uma falha crítica recentemente corrigida no Fortinet FortiSIEM, sistema utilizado para monitoramento e gerenciamento de eventos de segurança em ambientes corporativos. A vulnerabilidade, identificada como CVE-2026-106173 e classificada com pontuação CVSS 9.4, permite que invasores não autenticados executem comandos ou códigos arbitrários por meio do envio de pacotes especialmente manipulados ao serviço gRPC do FortiSIEM.
O problema reside em uma falha de validação no tratamento do parâmetro “query-id” pela função SendQueryResult(), que processa metadados sem verificar corretamente os caminhos fornecidos pelo usuário. Isso possibilita que um atacante utilize sequências de path traversal (como “../”) para sobrescrever arquivos fora do diretório previsto pelo sistema, transformando a vulnerabilidade em um vetor para execução remota de código.
Além disso, a exploração se torna ainda mais grave devido à possibilidade de injeção de bytes nulos (“\0”) no parâmetro “query-id”. Esse artifício faz com que o sistema operacional ignore o sufixo automático normalmente adicionado ao nome do arquivo, permitindo ao atacante especificar exatamente qual arquivo será sobrescrito. Um exemplo prático citado pelos pesquisadores envolve a substituição de um script de verificação do serviço Redis, executado periodicamente por tarefas agendadas, facilitando a execução contínua de comandos maliciosos.
A Fortinet já disponibilizou correções para as versões afetadas do FortiSIEM, recomendando atualização imediata para mitigar riscos. O caso destaca a importância da validação rigorosa de entradas em serviços críticos e reforça a necessidade constante de atualização dos sistemas para evitar comprometimentos por falhas exploráveis remotamente.
Fonte original: thehackernews.com
Acessar publicação original
Resumo editorial criado automaticamente pela Eletrônica Americana com base em fontes internacionais públicas, com finalidade informativa.
Além de se manter informado, você pode aprofundar seus conhecimentos em nossos guias de compra, com informações e comparações que ajudam na escolha de produtos. Para conhecer características, especificações, pontos positivos e limitações, confira nossos reviews de produtos, elaborados com base em informações oficiais, dados públicos e avaliações de consumidores. Você também pode acompanhar nossa seleção de ofertas e descontos disponíveis nas principais lojas.
