認証不要でリモートコード実行が可能になる、Fortinet FortiSIEMの重大な脆弱性「CVE-2026-106173」の概念実証（PoC）エクスプロイトコードが新たに公開されました。詳細はFortinet FortiSIEMの脆弱性に関する記事でも解説されています。
2026年10月20日に公開されたこのエクスプロイトは、パストラバーサルと任意ファイル書き込みを連鎖させ、スケジュールタスクが実行するスクリプトを上書きする手法を示しています。Fortinetは10月13日、セキュリティアドバイザリ「FG-IR-26-180」でこの脆弱性を公表していました。
問題の原因は、FortiSIEMのgRPCサービスにおけるパス名の検証不備です。細工したネットワークリクエストによって本来のディレクトリを抜け出し、最終的に不正なコマンドを実行できてしまいます。
Horizon3.aiの研究者Zach Hanley氏が提供した技術分析によると、脆弱なコンポーネントはTCPポート27918でgRPCサービスを公開する「phQueryMaster」です。これまでに研究されてきた、ポート7900のphMonitorに関わるFortiSIEMの脆弱性とは異なり、今回の攻撃は別のサービスを標的とします。
このサーバーはすべてのインターフェースでバインドされ、クライアントに証明書の提示も求めません。そのため、サービスにネットワーク経由でアクセスできる攻撃者は、認証なしで脆弱な機能に到達できます。
中心的な弱点は、SendQueryResult RPCハンドラにあります。このハンドラは、query-id、src-ip、period-start、period-endなど攻撃者が制御可能なメタデータを処理したうえで、ストリーム配信されるファイル内容の保存先パスを組み立てます。
ハンドラはquery-idを、トラバーサルシーケンスを検証しないまま/query/result/ディレクトリに直接連結します。このため、意図された場所の外への書き込みが可能になります。ただし、生成されるファイル名には当初、プレフィックス、タイムスタンプ、内部カウンタ、.dat拡張子が付与され、制限されています。
Horizon3.aiが突き止めたところでは、サーバーはクライアントが宣言した長さに基づいてメタデータの値をコピーするため、埋め込まれたヌルバイトがそのまま残ります。その後のファイルシステム操作がこれらの値をヌル終端文字列として解釈すると、ヌルバイト以降はすべて切り捨てられます。
この不整合により、自動生成されるファイル名の接尾辞が消え、攻撃者は書き込み先のパスを正確に指定できるようになります。攻撃者は既存ファイルを上書きでき、元の所有者と権限も維持されます。
研究者らは、現実的な実行対象として/opt/charting/redishb.shを特定しました。このRedisのヘルスチェック用スクリプトはcronジョブで60秒ごとに呼び出されており、サービスの管理者コンテキストから変更できます。
したがって、この内容を置き換えれば、ファイル書き込みのプリミティブが、攻撃者が制御するコマンドの定期実行へと変わります。Horizon3.aiは、悪用を明確に示すアプリケーションログは見つからなかったと報告しています。
調査担当者は、重要な実行可能ファイル、特に/opt/charting/redishb.shと/opt/phoenix/bin/phLicenseToolの更新タイムスタンプと内容を確認してください。不審な変更は、周辺のファイルや信頼できるベースラインと比較して判断する必要があります。
FortiSIEM 7.5.0を利用中のユーザーは、バージョン7.5.1以降へのアップグレードが必要です。報道によると、FortiSIEM 7.6は影響を受けないとされています。管理者は、環境ごとの対応についてFortinetのアドバイザリを確認してください。
修正を進める間は、TCPポート27918へのアクセスを制限することで、リスクを軽減できます。エクスプロイトが公開されたことは再現性を裏付けますが、実際の攻撃で悪用されている証拠にはなりません。
セキュリティチームは、確認済みの悪意ある活動と、脆弱性にさらされている状態とを区別する必要があります。そのうえで、影響を受けるFortiSIEM環境全体でパッチ適用を優先し、的を絞った整合性チェックを実施してください。
16,000以上のSOCチームが、脅威調査の効率化と手作業の削減のためにANY.RUNを活用しています。 チームで試してみる
翻訳元: https://cyberpress.org/critical-fortinet-fortisiem-rce-vulnerability/
