Investigadores de ciberseguridad han publicado una prueba de concepto (PoC) para una vulnerabilidad crítica recientemente parcheada en Fortinet FortiSIEM. Esta falla, identificada como CVE-2026-106173 y con una puntuación CVSS de 9.4, podría permitir a un atacante no autenticado ejecutar código arbitrario de forma remota (RCE) a través de paquetes especialmente diseñados. La disponibilidad de un exploit público eleva significativamente el riesgo para las organizaciones que utilizan las versiones afectadas. Fortinet publicó un aviso de seguridad para la falla aquí.
La vulnerabilidad reside en una falla de ‘path traversal’ que afecta al servicio gRPC de FortiSIEM, el cual escucha en el puerto TCP 27918. Un atacante puede explotar esta debilidad para sobrescribir archivos existentes fuera de los directorios previstos, transformando esta capacidad de escritura arbitraria de archivos en una ejecución remota de código. La cadena de ataque implica el procesamiento inadecuado de metadatos no confiables en el manejador QueryResultReq del gRPC, permitiendo la inyección de secuencias de ../ y bytes nulos (\0) dentro de las capas de codificación HTTP/2 y HPACK de gRPC, según detalló Horizon3.ai.
Específicamente, el atacante manipula el parámetro ‘query-id’ para incluir secuencias de directorio traversal y un byte nulo. Este byte nulo es interpretado por el sistema operativo como un terminador de cadena, lo que permite al atacante especificar el nombre exacto de un archivo a sobrescribir, como el script de shell redishb.sh. Este script, que realiza comprobaciones de estado del servicio Redis, se ejecuta cada 60 segundos mediante una tarea cron, lo que asegura la ejecución del código malicioso inyectado.
Fortinet ya ha lanzado parches para abordar esta falla crítica. Las versiones afectadas incluyen FortiSIEM 7.5.0, que debe ser actualizado a la versión 7.5.1 o superior. Es importante destacar que FortiSIEM 7.6 no se ve afectado por esta vulnerabilidad. Se recomienda encarecidamente a todas las organizaciones que utilicen FortiSIEM que verifiquen sus versiones y apliquen las actualizaciones de seguridad pertinentes de manera inmediata para proteger sus sistemas.
Qué significa para tu empresa: Esta vulnerabilidad subraya la importancia crítica de mantener actualizados todos los componentes de su infraestructura de seguridad, especialmente aquellos que, como FortiSIEM, son centrales para la visibilidad y respuesta a incidentes. Ignorar estas actualizaciones puede exponer a su organización a riesgos significativos. Un servicio de SOC con monitoreo 24/7 garantiza que cualquier actividad anómala o indicio de explotación de este tipo de fallas sea detectado y mitigado proactivamente, incluso antes de que los parches puedan ser implementados o si la actualización se retrasa.
Fuente original: The Hacker News — ver artículo →