Fortinet Güvenlik Çözümünde Kritik Komut Enjeksiyonu Açığı Tespit Edildi
Fortinet’in güvenlik bilgisi ve olay yönetimi çözümü FortiSIEM’de kritik bir güvenlik açığı tespit edildi. CVE-2025-25256 olarak kayıtlara geçen açık, uzaktaki kimliği doğrulanmamış bir saldırganın komut veya kod yürütmesine izin veriyor. Sızma testi şirketi Horizon3.ai tarafından raporlanan açığın teknik detayları ve sömürü kodu halka açıklandı.
Açık İki Farklı Sorunun Birleşiminden Oluşuyor
Açık, iki farklı güvenlik sorununun birleşiminden kaynaklanıyor. Bu sorunlar, saldırgana yönetici izinleriyle keyfi yazma ve kök erişimine yükselme imkânı tanıyor. Fortinet, açığı “FortiSIEM’deki özel elemanların uygun şekilde nötralize edilmemesi” olarak tanımladı. Şirket, kimliği doğrulanmamış bir saldırganın hazırlanmış TCP istekleriyle yetkisiz kod veya komut yürütebileceği uyarısında bulundu.
Horizon3.ai araştırmacıları, sorunun kök nedenini phMonitor hizmetinde ortaya çıkardı. Bu hizmet üzerinden düzinelerce komut işleyiciye kimlik doğrulama gerektirmeden uzaktan erişilebiliyor. Araştırmacılar, bu hizmetin son birkaç yıldır birden fazla FortiSIEM güvenlik açığına giriş noktası olduğunu belirtti. CVE-2023-34992 ve CVE-2024-23108 gibi önceki açıklar da aynı hizmeti hedef almıştı.
Açık, FortiSIEM sürüm 6.7’den 7.5’e kadar olan versiyonları etkiliyor. Fortinet, güvenlik düzeltmelerini aşağıdaki sürümler için yayınladı:
- FortiSIEM 7.4.1 veya üzeri
- FortiSIEM 7.3.5 veya üzeri
- FortiSIEM 7.2.7 veya üzeri
- FortiSIEM 7.1.9 veya üzeri
FortiSIEM 7.0 ve 6.7.0 sürümleri de etkileniyor ancak artık desteklenmiyor. Bu nedenle söz konusu sürümler CVE-2025-25256 için düzeltme almayacak. Fortinet, açığın FortiSIEM 7.5 ve FortiSIEM Cloud sürümlerini etkilemediğini açıkladı.
Güvenlik güncellemesini hemen uygulayamayan kuruluşlar için tek geçici çözüm önerildi. Bu çözüm, phMonitor portuna (7900) erişimi sınırlandırmaktan ibaret. Horizon3.ai, ihlal göstergelerini de paylaştı. Şirketler, phMonitor tarafından alınan mesajların günlüklerini kontrol ederek tehlikeye girmiş sistemleri tespit edebilir.
Açık Ransomware Gruplarının İlgi Alanında
Araştırmacılar, bu tür açıkların siber suç grupları için cazip olduğunu vurguladı. Black Basta gibi ransomware gruplarının geçmişte benzer FortiSIEM açıklarına yoğun ilgi gösterdiği biliniyor. Horizon3.ai, satıcının düzeltmeyi dağıtması ve güvenlik bildirisi yayınlaması nedeniyle sömürü kodunu paylaşma kararı aldı.
Şirket, açığın teknik detaylarını anlatan kapsamlı bir analiz yayınladı. Analizde açığın nasıl çalıştığı ve hangi koşullarda sömürülebileceği adım adım açıklandı. Güvenlik uzmanları, bu bilgilerin siber savunma ekiplerine sistemlerini korumada yardımcı olacağını düşünüyor.
FortiSIEM kullanıcılarının güvenlik güncellemelerini acilen uygulaması öneriliyor. Güvenlik açığının halka açık sömürü koduna sahip olması, siber saldırganların bu zafiyeti aktif olarak araması riskini artırıyor. Kuruluşların güncelleme yapana kadar phMonitor port erişimini sıkı şekilde kısıtlamaları öneriliyor.
