Fortinet cảnh báo về lỗ hổng xác thực của FortiSIEM có thể bị khai thác

Ngày 12/8, Fortinet đưa ra cảnh báo về lỗ hổng command injection từ xa không xác thực trong FortiSIEM, yêu cầu quản trị viên các tổ chức áp dụng các bản vá mới nhất để bảo vệ trước mối đe dọa này.

Được biết, FortiSIEM (phần mềm quản lý an ninh thông tin và sự kiện) là giải pháp an ninh mạng tổng thể cung cấp cho các tổ chức khả năng hiển thị nâng cao, phân tích, giám sát và kiểm soát tình trạng bảo mật của hệ thống, đóng vai trò là thành phần không thể thiếu trong các trung tâm SOC tại các tổ chức, doanh nghiệp.

Lỗ hổng được theo dõi với mã định danh CVE-2025-25256 (điểm CVSS: 9.8), ảnh hưởng đến nhiều phiên bản của SIEM, từ 5.4 đến 7.3. Fortinet cho biết: "Việc vô hiệu hóa không đúng cách các thành phần trong FortiSIEM, có thể cho phép kẻ tấn công thực thi mã hoặc lệnh trái phép thông qua các yêu cầu CLI được tạo thủ công".

Mặc dù Fortinet không tuyên bố rõ ràng rằng lỗ hổng này đã bị khai thác như một lỗ hổng zero-day, nhưng họ đã xác nhận rằng có mã bằng chứng khái niệm (PoC) cho lỗ hổng này. Fortinet thông tin rằng, việc khai thác lỗ hổng này không tạo ra chỉ số IOC đặc biệt để xác định xem thiết bị có bị xâm phạm hay không.

Cảnh báo được đưa ra một ngày sau khi các nhà nghiên cứu GreyNoise cảnh báo về sự gia tăng các cuộc tấn công Brute Force nhắm vào các phiên bản VPN SSL của Fortinet vào đầu tháng 8, sau đó là việc chuyển sang FortiManager. Công ty tình báo mối đe dọa mạng này cảnh báo rằng sự gia tăng đột biến lưu lượng độc hại thường xảy ra trước khi một lỗ hổng mới được tiết lộ.

Không rõ việc Fortinet tiết lộ lỗ hổng CVE-2025-25256 có liên quan đến báo cáo của GreyNoise hay không. Do đã có PoC, các tổ chức cần áp dụng bản cập nhật bảo mật mới nhất càng sớm càng tốt, bằng cách nâng cấp lên một trong các phiên bản FortiSIEM sau: FortiSIEM 7.3.2, FortiSIEM 7.2.6, FortiSIEM 7.1.8, FortiSIEM 7.0.4, FortiSIEM 6.7.10.

FortiSIEM phiên bản 5.4 đến 6.6 cũng dễ bị tấn công ở tất cả các phiên bản, nhưng chúng không còn được hỗ trợ và sẽ không nhận được bản vá cho lỗ hổng này. Quản trị viên đang quản lý các phiên bản FortiSIEM cũ hơn được khuyến cáo nên chuyển sang phiên bản mới và được hỗ trợ tích cực.

Bên cạnh đó, Fortinet cũng đưa ra giải pháp hạn chế quyền truy cập vào phMonitor trên cổng 7900, hãng cho biết đây là điểm vào cho các hoạt động khai thác độc hại. Điều quan trọng cần lưu ý là các giải pháp này để giảm thiểu rủi ro và thời gian chờ đợi cho đến khi có thể thực hiện nâng cấp. Tuy nhiên, chúng không khắc phục được lỗ hổng bảo mật cơ bản.