Vulnérabilité critique d'injection de commandes à distance affectant Fortinet FortiSIEM
Une vulnérabilité critique d'injection de commandes à distance (RCE) a été identifiée sur la solution Fortinet FortiSIEM. Son exploitation permettrait à un attaquant distant non authentifié d'exécuter des commandes système arbitraires sur l'infrastructure de collecte d'événements.
Description
Contexte technique et détails de la vulnérabilité
Fortinet FortiSIEM assure la collecte centralisée, la corrélation en temps réel des journaux de sécurité et la détection d'incidents au sein des centres de surveillance des opérations de sécurité (SOC).
Ces produits sont affectés par les vulnérabilités libellées comme suit :
CVE-2025-64155 : vulnérabilité d'injection de commandes système (CWE-78) dans le démon phMonitor écoutant sur le port TCP 7900. Un attaquant distant sans identifiants peut transmettre des requêtes réseau forgées pour exécuter du code arbitraire avec de hauts privilèges. Elle est classée critique avec un score de sévérité de 9.4 selon le CVSS V3.1.
Impact & Risques potentiels
Conséquences potentielles en cas d'exploitation
- Exécution de code système à distance (RCE) sans authentification préalable ;
- Prise de contrôle totale de l'appliance de supervision SIEM ;
- Accès illégitime aux alertes, journaux sensibles et configurations de détection ;
- Atteinte critique à la confidentialité, l'intégrité et la disponibilité du monitoring de sécurité.
Systèmes affectés
Produits, composants et versions concernés
- FortiSIEM 7.4 : versions antérieures à 7.4.1 ;
- FortiSIEM 7.3 : versions antérieures à 7.3.5 ;
- FortiSIEM 7.2 : versions antérieures à 7.2.7 ;
- FortiSIEM 7.1 : versions antérieures à 7.1.9 ;
- FortiSIEM 7.0 et 6.7 : toutes les versions.
Mesures & Remédiations recommandées
Actions immédiates et correctifs recommandés
- Mettre à jour immédiatement FortiSIEM vers les versions corrigées : 7.4.1, 7.3.5, 7.2.7 ou 7.1.9 ou supérieure ;
- Migrer immédiatement les versions 7.0 et 6.7 vers une branche active ;
- Mesure palliative d'urgence : filtrer rigoureusement au niveau du pare-feu tout trafic vers le port TCP 7900 (phMonitor) pour n'autoriser que les nœuds internes de confiance.
Sources & Liens externes
Avis constructeurs et bulletins de référence
Fiche Technique
Cellule d'Urgence CSIRT
Votre infrastructure est-elle affectée ou suspectez-vous un incident ? Nos experts sont mobilisables pour intervenir.
Signaler un incidentRecevez nos alertes par email
Abonnez-vous pour recevoir nos bulletins d'alerte de sécurité et les actualités d'Iservices directement dans votre boîte mail.