Опубликованный код эксплойта выявляет критическую уязвимость внедрения команд в FortiSIEM.

[admin]

Опубликованы технические подробности и эксплойт критической уязвимости, затрагивающей решение Fortinet для управления информацией и событиями безопасности (SIEM), которая может быть использована удаленным неавторизованным злоумышленником для выполнения команд или кода.


Уязвимость отслеживается под номером CVE-2025-25256 и представляет собой комбинацию двух проблем, позволяющих осуществлять произвольную запись с правами администратора и повышать привилегии до уровня root.


Исследователи из компании Horizon3.ai, занимающейся тестированием на проникновение, сообщили об этой проблеме безопасности в середине августа 2025 года. В начале ноября компания Fortinet устранила ее в четырех из пяти веток разработки продукта и на этой неделе объявила, что все уязвимые версии были исправлены.

Компания Fortinet описывает уязвимость CVE-2025-25256 как "неправильную нейтрализацию специальных элементов, используемых в командах операционной системы FortiSIEM, которая может позволить неавторизованному злоумышленнику выполнить несанкционированный код или команды посредством специально сформированных TCP-запросов".


Компания Horizon3.ai опубликовала подробное описание проблемы, в котором объясняется, что ее первопричина заключается в доступности десятков обработчиков команд в сервисе phMonitor, которые можно вызывать удаленно без аутентификации.

Исследователи утверждают, что этот сервис на протяжении нескольких лет являлся точкой входа для многочисленных уязвимостей FortiSIEM, таких как CVE-2023-34992 и CVE-2024-23108, и подчеркивают, что группы вымогателей, такие как Black Basta, ранее проявляли искренний интерес к этим недостаткам.


Наряду с техническими подробностями об уязвимости CVE-2025-25256, исследователи также опубликовали демонстрационный эксплойт . Поскольку поставщик выпустил исправление и опубликовал уведомление о безопасности, исследователи решили поделиться кодом эксплойта.


Уязвимость затрагивает версии FortiSIEM от 6.7 до 7.5, и исправления были выпущены для следующих версий:

• FortiSIEM 7.4.1 или выше
• FortiSIEM 7.3.5 или выше
• FortiSIEM 7.2.7 или выше
• FortiSIEM 7.1.9 или выше

Уязвимости CVE-2025-25256 также подвержены FortiSIEM 7.0 и 6.7.0, но их поддержка прекращена, поэтому они не получат исправления.

Компания Fortinet уточнила, что эта уязвимость не затрагивает FortiSIEM 7.5 и FortiSIEM Cloud.


Единственное обходное решение, предложенное поставщиком для тех, кто не может немедленно установить обновление безопасности, — это ограничить доступ к порту phMonitor (7900).


Компания Horizon3.ai также поделилась индикаторами компрометации, которые могут помочь компаниям обнаруживать скомпрометированные системы. При просмотре логов сообщений, полученных phMonitor (/opt/phoenix/log/phoenix.logs), строка с 'PHL_ERROR' должна содержать URL-адрес полезной нагрузки и файл, в который она была записана.