Τεχνικές λεπτομέρειες και ένας δημόσιος exploit code έχουν δημοσιευτεί για μια κρίσιμη ευπάθεια που επηρεάζει τη λύση FortiSIEM της Fortinet. Η ευπάθεια θα μπορούσε να αξιοποιηθεί από έναν απομακρυσμένο, μη εξουσιοδοτημένο επιτιθέμενο για την εκτέλεση εντολών ή κώδικα.
Η ευπάθεια παρακολουθείται ως CVE-2025-25256 και αποτελεί συνδυασμό δύο ζητημάτων που επιτρέπουν αυθαίρετη εγγραφή με δικαιώματα διαχειριστή και κλιμάκωση προνομίων σε πρόσβαση root.
Οι ερευνητές της εταιρείας Horizon3.ai ανέφεραν το ζήτημα ασφαλείας στα μέσα Αυγούστου 2025. Στις αρχές Νοεμβρίου, η Fortinet το αντιμετώπισε στα τέσσερα από τα πέντε development branches του προϊόντος και τώρα ανακοίνωσε ότι όλες οι ευάλωτες εκδόσεις έχουν διορθωθεί.
Δείτε επίσης: Ευπάθεια στο Spring επιτρέπει την εκτέλεση εντολών στο PC του χρήστη
Η εταιρεία περιγράφει την ευπάθεια ως “improper neutralization ειδικών στοιχείων που χρησιμοποιούνται σε μια ευπάθεια OS command στο FortiSIEM, που μπορεί να επιτρέψει σε έναν μη αυθεντικοποιημένο επιτιθέμενο να εκτελέσει κώδικα ή εντολές μέσω κατασκευασμένων αιτημάτων TCP“.
Η Horizon3.ai έχει δημοσιεύσει μια λεπτομερή ανάλυση που εξηγεί ότι η ρίζα του προβλήματος είναι η έκθεση δεκάδων command handlers στην υπηρεσία phMonitor, οι οποίοι μπορούν να κληθούν απομακρυσμένα χωρίς αυθεντικοποίηση. Οι ερευνητές αναφέρουν ότι αυτή η υπηρεσία έχει αποτελέσει το σημείο εισόδου για πολλαπλές ευπάθειες του FortiSIEM κατά τη διάρκεια των ετών, όπως οι CVE-2023-34992 και CVE-2024-23108, και υπογραμμίζουν ότι ομάδες ransomware, όπως η Black Basta, έχουν δείξει ενδιαφέρον για αυτές τις αδυναμίες.
Μαζί με τις τεχνικές λεπτομέρειες για την CVE-2025-25256, οι ερευνητές έχουν επίσης δημοσιεύσει ένα demonstrative exploit. Δεδομένου ότι ο προμηθευτής παρείχε τη διόρθωση και δημοσίευσε μια συμβουλευτική ασφάλειας, οι ερευνητές αποφάσισαν να μοιραστούν τον exploit code.
Δείτε επίσης: Κρίσιμη ευπάθεια στο Node.js μπορεί να προκαλέσει server crashes
FortiSIEM: Ποιες εκδόσεις επηρεάζονται – Διορθώσεις
Η ευπάθεια επηρεάζει τις εκδόσεις FortiSIEM από 6.7 έως 7.5, και οι διορθώσεις είναι διαθέσιμες στις ακόλουθες εκδόσεις:
– FοrtiSIEM 7.4.1 ή νεότερη
– FοrtiSIEM 7.3.5 ή νεότερη
– FοrtiSIEM 7.2.7 ή νεότερη
– FortiSIEM 7.1.9 ή νεότερη
Οι εκδόσεις FortiSIEM 7.0 και 6.7.0 επηρεάζονται επίσης αλλά δεν υποστηρίζονται πλέον, οπότε δεν θα λάβουν διόρθωση για την CVE-2025-25256.
🔒 Προστατέψτε την ιδιωτικότητά σας με Proton VPN
Ελβετικό VPN από τους δημιουργούς του Proton Mail — αυστηρή πολιτική no-logs, ισχυρή κρυπτογράφηση και ενσωματωμένο NetShield που μπλοκάρει διαφημίσεις, trackers & malware.
- ✔ No-logs, με έδρα την Ελβετία (εκτός 14-Eyes)
- ✔ NetShield: φραγή διαφημίσεων, trackers & κακόβουλων domains
- ✔ Καλύπτει όλες τις συσκευές — δωρεάν έκδοση διαθέσιμη
Ο σύνδεσμος είναι συνεργατικός (affiliate) — το SecNews ενδέχεται να λάβει προμήθεια χωρίς επιπλέον κόστος για εσάς. Δεν επηρεάζει την ανεξαρτησία της αρθρογραφίας μας.
Η Fortinet διευκρίνισε ότι αυτή η ευπάθεια δεν επηρεάζει τις εκδόσεις FortiSIEM 7.5 και FortiSIEM Cloud.
Δείτε επίσης: Σοβαρό σφάλμα στο λογισμικό της Broadcom επιτρέπει άρνηση υπηρεσίας WiFi
Η μόνη εναλλακτική λύση, για εκείνους που δεν μπορούν να εφαρμόσουν την ενημέρωση άμεσα, είναι να περιορίσουν την πρόσβαση στη θύρα phMonitor (7900).
Η Horizon3.ai έχει επίσης μοιραστεί δείκτες παραβίασης που μπορούν να βοηθήσουν τις εταιρείες να ανιχνεύσουν παραβιασμένα συστήματα. Εξετάζοντας τα αρχεία καταγραφής για τα μηνύματα που λαμβάνονται από το phMonitor (/opt/phoenix/log/phoenix.logs), η γραμμή με το ‘PHL_ERROR‘ θα πρέπει να περιλαμβάνει το URL για το payload και το αρχείο στο οποίο γράφεται.
Πηγή: www.bleepingcomputer.com
