Giriş
Fortinet, FortiSIEM’deki kritik bir güvenlik açığını gidermek için güncellemeler yayınladı. Bu açık, kimliği doğrulanmamış bir saldırganın etkilenen sistemlerde kod yürütmesine olanak tanıyabilir ve CVSS puanı 9.4’tür.
Açığın Tanımı
CVE-2025-64155 olarak izlenen bu işletim sistemi (OS) enjeksiyon açığı, FortiSIEM’de özel öğelerin yanlış bir şekilde muhalefet edilmesi (“OS komut enjeksiyonu”) yoluyla oluşur. Fortinet’in açıkladığına göre, bu durum, saldırganların özel olarak hazırlanmış TCP istekleri ile yetkisiz kod veya komutlar çalıştırmasına neden olabilir.
Etkilenen Sistemler
Açık, yalnızca Süper ve Çalışan düğümlerini etkilemektedir. Sorunun çözümü için önerilen güncellemeler:
- FortiSIEM 6.7.0’dan 6.7.10’a kadar (sorunsuz bir sürüme geçin)
- FortiSIEM 7.0.0’dan 7.0.4’e kadar (sorunsuz bir sürüme geçin)
- FortiSIEM 7.1.0’dan 7.1.8’e kadar (7.1.9 veya üzeri sürüme geçin)
- FortiSIEM 7.2.0’dan 7.2.6’ya kadar (7.2.7 veya üzeri sürüme geçin)
- FortiSIEM 7.3.0’dan 7.3.4’e kadar (7.3.5 veya üzeri sürüme geçin)
- FortiSIEM 7.4.0 (7.4.1 veya üzeri sürüme geçin)
- FortiSIEM 7.5 (etkilenmemiş)
- FortiSIEM Cloud (etkilenmemiş)
Saldırı Nasıl Çalışıyor?
Güvenlik araştırmacısı Zach Hanley, bu açığın iki temel bileşeni olduğunu belirtmiştir:
- Kayıtlı olmayan bir argüman enjeksiyon açığı, uzak kod yürütmeye olanak veren keyfi dosya yazımını sağlar.
- Dosya üst yazma ayrıcalık yükseltme açığı, kök erişimi ile cihazın tamamen tehlikeye girmesine neden olur.
Sorun, FortiSIEM’in phMonitor hizmetinin, belirli TCP portları üzerinden gelen istekleri nasıl işlediğiyle ilgilidir. phMonitor, güvenlik olaylarının kaydını Elasticsearch’e yönlendiren kritik bir arka uç hizmetidir ve hatalı bir şekilde kullanıcı kontrolündeki parametreleri işleyerek yetkisiz kod yürütme olanağı tanır.
Çözüm ve Korunma
Fortinet, CVE-2025-64155 için geçici çözümler sunmaktadır:
– Kullanıcılardan phMonitor portuna (7900) erişimi sınırlamaları istenmektedir.
– Kullanıcıların en son sürümlere geçmeleri önerilmektedir.
Ayrıca, Fortinet’in başka bir kritik güvenlik açığı için (CVE-2025-47855, CVSS puanı: 9.3) güncellemeler sunulmuştur. Bu açık, kimliği doğrulanmamış bir saldırganın cihaz konfigürasyonuna erişmesine olanak tanır.
Sonuç
Kullanıcıların, FortiSIEM için en son güncellemeleri yüklemeleri ve phMonitor portuna erişimi kısıtlamaları önemlidir. Bu adımlar, sistemlerini olası saldırılara karşı korumalarına yardımcı olacaktır. Güncellemelerin zamanında yapılması, ciddi güvenlik tehditlerine karşı alınacak en etkili önlemdir.
