Hinweis: Cloud- und neueste gepatchte Versionen (z. B. 7.4.1, 7.3.5, 7.2.7, 7.1.9) sind nicht betroffen.

🔥 Auswirkungen

• Nicht authentifizierte Remote-Ausnutzung möglich

• Vollständige Systemkompromittierung (Root-Zugriff)

• Mögliche Angriffsaktionen:

  • Installieren von Malware/Backdoors
  • Exfiltration von Protokollen und Anmeldedaten
  • Manipulieren oder Deaktivieren der Überwachung
  • Pivot zu internen Systemen

FortiSIEM enthält häufig sensible Telemetrie- und Administrationsdaten, daher kann eine Kompromittierung die organisatorische Sicherheit ernsthaft schwächen.

📈 Ausnutzungsstatus

• Öffentlicher Proof-of-Concept (PoC) verfügbar
• Aktive Ausnutzung in freier Wildbahn gemeldet
• In einigen offiziellen staatlichen Schwachstellenkatalogen noch nicht gelistet, aber äußerst dringend

🛡 Schadensbegrenzung & Behebung

Sofortmaßnahmen:

1. FortiSIEM sofort patchen: Upgrade auf die Versionen 7.4.1, 7.3.5, 7.2.7 oder 7.1.9
2. Netzwerkzugriff einschränken: Nur vertrauenswürdigen Hosts den Zugriff auf TCP-Port 7900 erlauben
3. FortiSIEM segmentieren und isolieren von der allgemeinen Netzwerkexposition
4. Protokolle überwachen: Auf ungewöhnliche Verbindungen oder unerwartete Administratoraktionen achten

Temporärer Workaround:

• Eingehenden Datenverkehr zu TCP-Port 7900 blockieren, bis ein Patch möglich ist

🧠 Zusammenfassung

CVE-2025-64155 ist eine kritische OS-Command-Injection-Schwachstelle in FortiSIEM, die Remote-Root-Zugriff ohne Authentifizierung ermöglicht. Da PoC-Exploits öffentlich verfügbar sind, müssen Organisationen sofort patchen, isolieren und überwachen, um eine vollständige Systemkompromittierung zu verhindern.

Referenzen:

• The Hacker Wire
• Socradar Threat Blog
• INCIBE