CVE-2026-106173

Nome do Software Vulnerável e Versões Afetadas FortiSIEM versões 7.0.0 até 7.0.4 FortiSIEM versões 7.1.0 até 7.1.9 FortiSIEM versões 7.2.0 até 7.2.7 FortiSIEM versões 7.3.0 até 7.3.5 FortiSIEM versões 7.4.0 até 7.4.2 FortiSIEM versão 7.5.0

Description Um problema de execução remota de código não autenticado existe no serviço gRPC phQueryMaster, que escuta na porta TCP 27918. A falha origina-se da validação inadequada de metadados controlados pelo usuário no manipulador QueryResultReq, especificamente no método RPC SendQueryResult. Um invasor pode explorar uma vulnerabilidade de path traversal manipulando a variável query-id para gravar arquivos arbitrários no sistema de arquivos. Isso é potencializado por uma injeção de null-byte no cabeçalho, que permite ao invasor ignorar os sufixos de arquivo adicionados pelo servidor e obter controle total sobre o nome do arquivo. Ao sobrescrever arquivos críticos do sistema, como /opt/charting/redishb.sh ou /opt/phoenix/bin/phLicenseTool, um invasor pode alcançar a execução remota de código quando esses arquivos forem posteriormente invocados por processos do sistema, como cron jobs. Um prova de conceito foi divulgada pela Horizon3.ai.

Recommendations Para as versões do FortiSIEM 7.0.0 até 7.0.4, 7.1.0 até 7.1.9, 7.2.0 até 7.2.7, 7.3.0 até 7.3.5, 7.4.0 até 7.4.2 e 7.5.0, atualize para a versão 7.5.1 ou 7.6.0 e posteriores. Restrinja o acesso de rede à porta TCP 27918 para redes de gerenciamento confiáveis para minimizar o risco de exploração.