Fortinet FortiSIEM — Vulnerabilidad Crítica de Escritura de Archivos y RCE en Servicio gRPC (CVE-2026-106173)

Fecha de publicación: 20 de octubre de 2026
Categoría: Vulnerability / Enterprise Security

Introducción

Investigadores de seguridad han publicado un exploit de tipo prueba de concepto (PoC) dirigido a una vulnerabilidad crítica recientemente parcheada que afecta a la plataforma de gestión de eventos e información de seguridad Fortinet FortiSIEM. Esta falla, catalogada bajo el identificador CVE-2026-106173, permite a un atacante no autenticado lograr la ejecución remota de código (RCE) en los sistemas vulnerables. La publicación del código de explotación eleva significativamente el riesgo operativo para las organizaciones que aún no han aplicado las actualizaciones correspondientes.

¿Qué es FortiSIEM y la Vulnerabilidad de Traspaso de Directorios? (Análisis General)

FortiSIEM es una solución integral de gestión de eventos de seguridad e información diseñada para ofrecer visibilidad centralizada, correlación de registros y capacidades de respuesta a incidentes en infraestructuras empresariales complejas. Al encontrarse típicamente en posiciones clave de la red para supervisar la seguridad de la organización, cualquier compromiso en este componente puede otorgar a un atacante un control absoluto sobre la postura de seguridad y los flujos de telemetría de la red.

La vulnerabilidad identificada se clasifica oficialmente bajo los siguientes parámetros confirmados por el National Vulnerability Database (NVD):

  • CVE: CVE-2026-106173
  • CVSS v3.1 Oficial: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H — Puntuación: 9.8 (CRITICAL)
  • Clasificación CWE Oficial: CWE-22 (Improper Limitation of a Pathname to a Restricted Directory / Path Traversal)
  • CISA KEV: No reportado en el catálogo al momento del análisis.

Este fallo crítico deriva de una validación inadecuada de entradas en el manejo de metadatos dentro de los servicios internos de la plataforma, permitiendo que un atacante remoto y sin privilegios manipule rutas de archivos en el sistema operativo subyacente.

¿Cómo funciona? (Análisis Técnico)

El análisis detallado revela que el vector de ataque explota la arquitectura de comunicación gRPC de FortiSIEM, específicamente en el puerto TCP 27918.

  • Flujo inicial de entrada y procesamiento gRPC: El gestor QueryResultReq del servicio gRPC procesa metadatos que provienen de fuentes no confiables sin realizar una validación estricta de rutas. Mediante la construcción de peticiones adaptadas a las capas de codificación HTTP/2 y HPACK de gRPC, un atacante puede inyectar secuencias de salto de directorio (../).
  • Mecanismo de escritura arbitraria de archivos: El problema principal radica en una construcción de rutas insegura dentro de la función SendQueryResult(), la cual utiliza un parámetro controlado por el usuario denominado query-id. Aunque las secuencias ../ permiten escapar del directorio restringido, el software añade automáticamente un sufijo predeterminado al nombre del archivo con la estructura result-<source IP address>-0-0-<id>.dat.
  • Evasión mediante inyección de bytes nulos y persistencia: Para eludir el sufijo generado automáticamente por la aplicación, el exploit introduce un byte nulo (\0) dentro del parámetro query-id. El sistema operativo interpreta dicho byte como un terminador de cadena, ignorando por completo todo el contenido posterior. Esto permite a los atacantes sobrescribir archivos críticos preexistentes, como el script de shell redishb.sh empleado para las comprobaciones de estado del servicio Redis (el cual se ejecuta cada 60 minutos mediante una tarea programada cron), logrando así la ejecución de comandos arbitrarios con los privilegios del servicio afectado.

Sistemas / Entornos Afectados

El fallo impacta directamente a versiones específicas de la infraestructura de FortiSIEM:

CVE Categoría (CWE) Impacto CVSS Vector (resumido)
CVE-2026-106173 CWE-22 Ejecución Remota de Código (RCE) / Escritura de Archivos 9.8 (Critical) AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
  • FortiSIEM 7.5.0: Vulnerable (requiere actualización inmediata a la versión 7.5.1 o superior).
  • FortiSIEM 7.6: No afectado.

Mitigación y Detección

Remediación

Las organizaciones que operan instancias de FortiSIEM deben aplicar las medidas de mitigación recomendadas por el fabricante sin demora:

  1. Actualizar inmediatamente FortiSIEM 7.5.0 a la versión 7.5.1 o superior, donde el error de validación en la función gRPC ha sido resuelto.
  2. Limitar el acceso de red al puerto TCP 27918 (servicio gRPC), permitiendo únicamente conexiones desde orígenes estrictamente necesarios y confiables mediante políticas de segmentación de firewall.

Detección

Los equipos defensivos (Blue Teams) deben supervisar activamente los registros de red y del sistema en busca de anomalías relacionadas con este vector de ataque.

“La presencia de secuencias de traspaso de directorios combinadas con caracteres de byte nulo en los metadatos de peticiones gRPC dirigidas al puerto 27918 constituye un indicador inequívoco de un intento de explotación contra FortiSIEM.”

  • Monitoreo de Logs: Revisar registros de acceso del servicio gRPC en busca de patrones sospechosos en el parámetro query-id que incluyan ../ y terminaciones de cadena por bytes nulos (\0).
  • Integridad de Archivos (FIM): Implementar soluciones de monitoreo de integridad en directorios críticos y scripts del sistema ejecutados por tareas programadas (cron), particularmente aquellos asociados a servicios auxiliares como Redis (redishb.sh).

Recapitulando

La divulgación de un exploit público para la vulnerabilidad crítica CVE-2026-106173 en FortiSIEM representa un riesgo operativo severo para las organizaciones que utilizan la plataforma. Al combinar una falla de traspaso de directorios en el servicio gRPC con técnicas de inyección de bytes nulos, los atacantes pueden lograr la ejecución remota de código sin autenticación previa. La aplicación prioritaria de parches y la segmentación de red son esenciales para neutralizar esta amenaza.

Referencias