🔒 CVE-2025-64155: Kritische FortiSIEM-Sicherheitslücke
📌 Übersicht
CVE-2025-64155 ist eine kritische Sicherheitslücke in Fortinet FortiSIEM, einer beliebten Plattform für Security Information and Event Management (SIEM). Die am 13. Januar 2026 öffentlich bekannt gegebene Schwachstelle ermöglicht es nicht authentifizierten entfernten Angreifern, beliebige Systembefehle auszuführen.
⚠️ Details zur Schwachstelle
- Typ: OS-Command-Injection (CWE-78)
- Auswirkung: Remote Code Execution (RCE) mit Root-Rechten
- Angriffsvektor: Netzwerk (TCP-Port 7900)
- Erforderliche Berechtigungen: Keine
- Benutzerinteraktion: Keine
- Angriffskomplexität: Niedrig
- Schweregrad: CVSS 3.x 9.8 (Kritisch)
Beschreibung: Ein Angreifer kann speziell konstruierte Anfragen an FortiSIEM-Dienste (wie phMonitor) senden, um beliebige Befehle auszuführen und möglicherweise das gesamte System zu gefährden.
🖥 Betroffene Produkte / Versionen
- FortiSIEM 6.7.0 – 6.7.10
- FortiSIEM 7.0.0 – 7.0.4
- FortiSIEM 7.1.0 – 7.1.8
- FortiSIEM 7.2.0 – 7.2.6
- FortiSIEM 7.3.0 – 7.3.4
- FortiSIEM 7.4.0
Hinweis: Cloud- und neueste gepatchte Versionen (z. B. 7.4.1, 7.3.5, 7.2.7, 7.1.9) sind nicht betroffen.
🔥 Auswirkungen
-
Nicht authentifizierte Remote-Ausnutzung möglich
-
Vollständige Systemkompromittierung (Root-Zugriff)
-
Mögliche Angriffsaktionen:
- Installieren von Malware/Backdoors
- Exfiltration von Protokollen und Anmeldedaten
- Manipulieren oder Deaktivieren der Überwachung
- Pivot zu internen Systemen
FortiSIEM enthält häufig sensible Telemetrie- und Administrationsdaten, daher kann eine Kompromittierung die organisatorische Sicherheit ernsthaft schwächen.
📈 Ausnutzungsstatus
- Öffentlicher Proof-of-Concept (PoC) verfügbar
- Aktive Ausnutzung in freier Wildbahn gemeldet
- In einigen offiziellen staatlichen Schwachstellenkatalogen noch nicht gelistet, aber äußerst dringend
🛡 Schadensbegrenzung & Behebung
Sofortmaßnahmen:
- FortiSIEM sofort patchen: Upgrade auf die Versionen 7.4.1, 7.3.5, 7.2.7 oder 7.1.9
- Netzwerkzugriff einschränken: Nur vertrauenswürdigen Hosts den Zugriff auf TCP-Port 7900 erlauben
- FortiSIEM segmentieren und isolieren von der allgemeinen Netzwerkexposition
- Protokolle überwachen: Auf ungewöhnliche Verbindungen oder unerwartete Administratoraktionen achten
Temporärer Workaround:
- Eingehenden Datenverkehr zu TCP-Port 7900 blockieren, bis ein Patch möglich ist
🧠 Zusammenfassung
CVE-2025-64155 ist eine kritische OS-Command-Injection-Schwachstelle in FortiSIEM, die Remote-Root-Zugriff ohne Authentifizierung ermöglicht. Da PoC-Exploits öffentlich verfügbar sind, müssen Organisationen sofort patchen, isolieren und überwachen, um eine vollständige Systemkompromittierung zu verhindern.
Referenzen:
mefhika120/ashwesker-cve-2025-64155
