Fortinet hat den Sicherheitshinweis FG-IR-26-180 veröffentlicht, der eine kritische path-traversal-Schwachstelle in FortiSIEM beschreibt – einer Plattform für das Management von Sicherheitsinformationen und -ereignissen. Laut dem Sicherheitshinweis des Herstellers wurde die Schwachstelle mit einem CVSSv3-Score von 9.4 bewertet und ermöglicht es einem nicht authentifizierten Angreifer, über speziell gestaltete Netzwerkpakete nicht autorisierten Code oder Befehle auszuführen. Organisationen, die FortiSIEM einsetzen, sollten umgehend eine Inventarisierung durchführen und die Verwundbarkeit ihrer Deployments gegenüber dieser Bedrohung bewerten.
Technische Details der Schwachstelle
Die Schwachstelle ist als CWE-22 klassifiziert – unzureichende Beschränkung eines Pfads zu einem Verzeichnis (path traversal). Die Überschrift des Sicherheitshinweises verweist auf die betroffene Komponente: gRPC phQueryMaster, und die Art des Problems wird als beliebiges Schreiben von Dateien (arbitrary file write) beschrieben. Das bedeutet, dass ein Angreifer durch die Manipulation von Pfadangaben in Anfragen an die gRPC-Schnittstelle beliebige Dateien im Dateisystem des Zielservers schreiben kann.
Die zentralen Eigenschaften der Schwachstelle:
- Kennung: FG-IR-26-180 (eine CVE-Kennung war zum Zeitpunkt der Veröffentlichung des Sicherheitshinweises noch nicht vergeben)
- CVSSv3-Bewertung: 9.4 (kritisch), von Fortinet vergeben; eine unabhängige Bewertung ist nicht bekannt
- Betroffenes Produkt: FortiSIEM
- Angriffsvektor: Netzwerk, über speziell gestaltete Pakete
- Authentifizierung: nicht erforderlich
- Potenzielle Auswirkung: Ausführung nicht autorisierten Codes oder nicht autorisierter Befehle
Die Kombination aus beliebigem Schreiben von Dateien und dem fehlenden Erfordernis einer Authentifizierung macht diese Schwachstelle besonders gefährlich. Ein Angreifer mit Netzwerkzugriff auf die gRPC-Schnittstelle phQueryMaster kann potenziell eine bösartige Datei in ein kritisches Verzeichnis schreiben – etwa eine Konfigurationsdatei austauschen oder ausführbaren Code ablegen – und so die Ausführung von Befehlen auf dem Server erreichen.
Was weiterhin unbekannt ist
Der Fortinet-Sicherheitshinweis weist in der aktuellen Fassung mehrere wesentliche Lücken auf. Die betroffenen Versionen von FortiSIEM sind nicht angegeben, es werden weder behobene Releases genannt noch konkrete Empfehlungen zur Behebung der Schwachstelle gegeben. Ebenfalls fehlen Informationen dazu, ob die Schwachstelle bereits in realen Angriffen ausgenutzt wird – der Exploit-Status bleibt unbekannt. Der Sicherheitshinweis ist auf den 13. Oktober 2026 datiert, und es ist wahrscheinlich, dass Details in späteren Revisionen ergänzt werden.
Einschätzung der Auswirkungen
FortiSIEM ist eine SIEM-Plattform der Enterprise-Klasse, die weit verbreitet in Security Operations Centers (SOC), bei Anbietern von Managed Security Services (MSSP) und in großen Organisationen zur Sammlung und Korrelation von Sicherheitsereignissen eingesetzt wird. Die Kompromittierung eines SIEM-Systems ist besonders kritisch: Ein Angreifer erhält nicht nur einen Präsenzpunkt in der Infrastruktur, sondern auch Zugriff auf aggregierte Daten zu den Sicherheitsereignissen der gesamten Organisation, was zur Planung weiterer Angriffe und zur Verschleierung von Spuren genutzt werden kann.
Die CVSS-Bewertung 9.4 durch Fortinet spiegelt die hohe Kritikalität wider: ein entfernter Angriffsvektor, keine erforderliche Authentifizierung und die Möglichkeit der Codeausführung. Zuvor haben wir bereits über kritische Schwachstellen in Produkten von Fortinet berichtet – insbesondere über die FortiSandbox-Schwachstelle mit CVSS 8.9 und den Authentifizierungs-Bypass in FortiMonitorOnSight, was auf einen anhaltenden Strom kritischer Sicherheitsprobleme im Fortinet-Ökosystem hinweist.
Empfehlungen
Da Fortinet bislang keine Informationen zu betroffenen Versionen und Fixes veröffentlicht hat, sind die verfügbaren Maßnahmen auf kompensierende Kontrollen beschränkt:
- Inventarisierung: Ermitteln Sie alle FortiSIEM-Instanzen in Ihrer Infrastruktur und halten Sie deren Versionen fest
- Einschränkung des Netzwerkzugriffs: Stellen Sie sicher, dass die gRPC-Schnittstelle phQueryMaster aus nicht vertrauenswürdigen Netzen nicht erreichbar ist. Beschränken Sie den Zugriff mittels Netzsegmentierung und Firewalls
- Monitoring: Verstärken Sie die Überwachung des Netzwerkverkehrs zu den FortiSIEM-Servern und achten Sie auf anomale gRPC-Anfragen sowie untypische Datei-Schreiboperationen
- Verfolgung von Updates: Prüfen Sie regelmäßig die Sicherheitshinweis-Seite von Fortinet auf Aktualisierungen zu FG-IR-26-180 mit Angaben zu betroffenen Versionen und Patches
Angesichts des CVSSv3-Scores von 9.4 und der Möglichkeit einer Remote Code Execution ohne Authentifizierung sollten Organisationen, die FortiSIEM betreiben, diese Schwachstelle als vorrangig betrachten. Die wichtigste Maßnahme besteht derzeit darin, den Netzwerkzugang zur gRPC-Schnittstelle phQueryMaster auf vertrauenswürdige Systeme zu beschränken und sich auf die zügige Anwendung eines Patches vorzubereiten, sobald Fortinet Informationen zu behobenen Versionen veröffentlicht.
