江苏
关键词
漏洞
核心事件快报：安全研究团队 Horizon3.ai 正式公开发布了针对 Fortinet 核心安全审计产品 FortiSIEM 的完整武器化利用 PoC（概念验证代码）。该漏洞编号为 CVE-2026-106173，CVSS 严重程度评分为 9.4。未经身份验证的外部远程攻击者，只需向 FortiSIEM 开放的 gRPC 服务发送精心构造的数据包，便可触发路径穿越与空字节截断，向服务器任意路径覆盖写入文件，进而将其转化为高特权远程代码执行（RCE）。
漏洞剖析：gRPC元数据校验缺失与空字节截断利用链
根据 Horizon3.ai 释出的技术白皮书，FortiSIEM 的攻破链条极为紧凑且致命，主要发生在系统默认监听的 TCP 27918 端口上：
- 第一步：无认证直连 gRPC 端口
：FortiSIEM 在 TCP 27918 端口运行的 gRPC 模块未做强制身份凭据校验，允许外部客户端直接建立 HTTP/2 会话并调用
QueryResultReq接口。 - 第二步：不安全的路径拼接
：处理函数
SendQueryResult()接收客户端传入的query-id元数据参数时，未对目录穿越字符进行有效过滤，攻击者可输入../../逃逸出受限的临时文件目录。 - 第三步：巧妙规避强制后缀限制
：原本系统在拼接路径后会自动追加
result- <源ip> -0-0- .dat的固定文件名，导致攻击者无法自由指定落盘文件名。 - 第四步：HPACK 空字节截断破局
：研究员发现在 gRPC 的 HTTP/2 编码与 HPACK 压缩层中，可以成功注入空字节（
\0/ NUL Byte）。当底层 C/C++ 文件系统调用解析该路径时，遇\0立即视为字符串终止符，从而丢弃服务端强加的.dat后缀。
一旦突破了路径穿越与文件名限制，攻击者即可利用任意文件写入（Arbitrary File Write）原语，向目标操作系统核心目录投递后门：
覆盖 Linux 系统的定时任务（
/etc/cron.d/）或系统环境变量启动脚本。篡改 Web 控制台目录下的静态资源或后端处理逻辑，植入交互式 Webshell。
由于 FortiSIEM gRPC 守护进程通常以高权限用户运行，攻击者借此直接斩获宿主机的 root 权限反弹 Shell。
虽然 Fortinet 官方在近期释出了维护版本补丁，但随着 Horizon3.ai 将高可用度、低利用门槛的 PoC 代码在 GitHub 及公开安全社区放开，针对企业边界 FortiSIEM 资产的在野自动化嗅探正呈现指数级增长。
作为企业核心的日志分析与威胁监控（SIEM）平台，FortiSIEM 一旦被黑客击穿，整网资产拓扑、安全告警记录以及内网凭据将尽收攻击者眼底。
️ 应急加固与处置防护建议
各机构安全运维团队必须立即核查 FortiSIEM 的公网暴露面并落实下列修复措施：
- 立即封堵 TCP 27918 端口
：在网络边界防火墙及路由器上，强制阻断来自未经授权的外网 IP 对 TCP 27918（gRPC）端口的访问，仅允许受信任的内网 Agent 节点通信。
- 全面升级官方维护补丁
：核验系统版本，立即升级至 Fortinet 官方发布的对应修复固件版本。
- 巡检关键系统目录异常文件
：排查 FortiSIEM 节点的
/etc/cron*、/tmp以及 Web 部署路径，核验最近 72 小时内是否有非官方变更的异常文件落盘。
安全圈
网罗圈内热点 专注网络安全
实时资讯一手掌握！
好看你就分享 有用就点个赞
支持「安全圈」就点个三连吧！
特别声明：以上内容(如有图片或视频亦包括在内)为自媒体平台“网易号”用户上传并发布，本平台仅提供信息存储服务。
Notice: The content above (including the pictures and videos if any) is uploaded and posted by a user of NetEase Hao, which is a social media platform and only provides information storage services.
