Im Fortinet Produkt Security Information and Event Management (SIEM) wurde die Tage eine Schwachstelle CVE-2025-64155 öffentlich und der Anbieter hat ein Update bereitgestellt. Nun sind technische Details sowie ein Exploit öffentlich geworden. Administratoren von Fortinet FortiSIEM sollten daher reagieren.
Fortinet FortiSIEM-Schwachstellen
Zum 13. Januar 2026 wurde CVE-2025-64155 öffentlich. Dazu heißt es, dass eine unsachgemäße Neutralisierung spezieller Elemente, die in einem OS-Befehl verwendet werden ("os-Befehlsinjektion"), es einem Angreifer ermöglichen, über manipulierte TCP-Anfragen nicht autorisierten Code oder Befehle auszuführen.
Betroffen von der Schwachstelle sind Fortinet FortiSIEM 7.4.0, FortiSIEM 7.3.0 bis 7.3.4, FortiSIEM 7.1.0 bis 7.1.8, FortiSIEM 7.0.0 bis 7.0.4 und FortiSIEM 6.7.0 bis 6.7.10. Fortinet hat den Sicherheitshinweis FG-IR-25-772: Unauthenticated remote command injection veröffentlicht.
Fortinet hat zum 13. Januar 2026 zudem den Sicherheitshinweis FG-IR-25-084: Heap-based buffer overflow in cw_acd daemon zu einer weiteren Schwachstelle CVE-2025-25249 veröffentlicht. Und vom Center for Internet Security gibt es diesen Sammelbeitrag zu weiteren Schwachstellen.
Details zu CVE-2025-64155 und PoC
Horizon3 hat inzwischen die Details zu CVE-2025-64155 im Beitrag CVE-2025-64155: Three Years of Remotely Rooting the Fortinet FortiSIEM offen gelegt.
Das Team hat eine von Fortinet im August 2025 veröffentlichte Sicherheitswarnung zu CVE-2025-25256 genauer analysiert und ist dann auf weitere Sicherheitsprobleme gestoßen. Eine nicht authentifizierte Argument-Injection-Sicherheitslücke, die das Schreiben beliebiger Dateien ermöglicht und die Remote-Ausführung von Code als Administratorbenutzer erlaubt, wurde gefunden. Zudem gibt es eine Sicherheitslücke zum Überschreiben von Dateien, die zu einer Rechteausweitung und Root-Zugriff führt
Diese Sicherheitslücken wurden gemeldet und zugewiesen und wurden als CVE-2025-64155 öffentlich.
Fortinet hat dann die Details sowie ein Proof of Concept öffentlich gemacht. Horizon3.ai hat Indikatoren für Kompromittierungen veröffentlicht, die dabei helfen können, kompromittierte Systeme zu erkennen.
MVP: 2013 – 2016
Forti und PaloAlto gläzen ständig durch Bugs. Ich kann nicht verstehen, wer diese ranzige Software einsetzt. IMHO reißt ein SIEM sowieso mehr Löcher als nützt. Das ist reines Compliance Theater für sehr viel Geld.
Bei solchen Kommentaren dürfen gerne Empfehlungen genannt werden. Ein SIEM ist teilweise verpflichtend aufgrund Bestimmungen.