CVE-2026-106173

اسم البرنامج المصاب والإصدارات المتأثرة FortiSIEM الإصدارات من 7.0.0 إلى 7.0.4 FortiSIEM الإصدارات من 7.1.0 إلى 7.1.9 FortiSIEM الإصدارات من 7.2.0 إلى 7.2.7 FortiSIEM الإصدارات من 7.3.0 إلى 7.3.5 FortiSIEM الإصدارات من 7.4.0 إلى 7.4.2 FortiSIEM الإصدار 7.5.0

Description توجد ثغرة تسمح بتنفيذ رموز عن بُعد دون مصادقة في خدمة gRPC المسماة phQueryMaster التي تعمل على منفذ TCP 27918. تنبع المشكلة من التحقق غير الكافي من البيانات الوصفية التي يتحكم فيها المستخدم في معالج QueryResultReq وتحديداً في طريقة RPC المسماة SendQueryResult. يمكن للمهاجم استغلال ثغرة تخطي المسار (path traversal) عن طريق التلاعب بمتغير query-id لكتابة ملفات عشوائية على نظام الملفات. يتم تعزيز ذلك من خلال حقن بايت فارغ (null-byte injection) في الترويسة، مما يسمح للمهاجم بتجاوز اللاحقات التي يضيفها الخادم للملفات والتحكم الكامل في اسم الملف. ومن خلال الكتابة فوق ملفات النظام الحساسة، مثل /opt/charting/redishb.sh أو /opt/phoenix/bin/phLicenseTool يمكن للمهاجم تنفيذ رموز عن بُعد عند استدعاء هذه الملفات بواسطة عمليات النظام مثل مهام cron. وقد قامت Horizon3.ai بنشر إثبات مفهوم (PoC) لهذه الثغرة.

Recommendations بالنسبة لإصدارات FortiSIEM من 7.0.0 إلى 7.0.4، ومن 7.1.0 إلى 7.1.9، ومن 7.2.0 إلى 7.2.7، ومن 7.3.0 إلى 7.3.5، ومن 7.4.0 إلى 7.4.2، والإصدار 7.5.0، يجب الترقية إلى الإصدار 7.5.1 أو 7.6.0 أو الإصدارات الأحدث. قم بتقييد الوصول إلى الشبكة عبر منفذ TCP 27918 بحيث يقتصر على شبكات الإدارة الموثوقة لتقليل مخاطر الاستغلال.