返回技術公告
資安通知嚴重程度高CVSS7.5

Graylog FortiGate 記錄解析漏洞可竄改欄位，請更新至 7.1.2

Graylog

Graylog 解析 key-value 格式的 syslog 訊息（例如 FortiGate 設備送出的記錄）時，未正確處理含引號的值，攻擊者可藉此覆寫訊息中的個別欄位，或讓 Graylog 產生無效訊息而丟棄，用來掩蓋惡意活動的記錄。同批修正另有一項存取權杖撤銷端點的問題：已登入的使用者若知道或猜到權杖識別碼，可刪除其他使用者（包括服務帳號與管理員）的存取權杖，造成依賴權杖的整合中斷。兩項皆已於 2026 年 5 月 20 日發布的 6.3.12、7.0.7、7.1.2 修正。

影響版本

  • CVE-2026-55841（FortiGate 解析）：Graylog Server 6.3.12 之前、7.0.0–7.0.6、7.1.0–7.1.1
  • CVE-2026-55841：Graylog Forwarder 7.3 之前的版本
  • CVE-2026-55867（權杖撤銷）：Graylog Server6.2.0–6.3.11、7.0.0–7.0.6、7.1.0–7.1.1

已修正版本

  • Graylog Server6.3.126.3 分支，2026-05-20 發布
  • Graylog Server7.0.77.0 分支，2026-05-20 發布
  • Graylog Server7.1.27.1 分支，2026-05-20 發布
  • Graylog Forwarder7.3 以上

建議處理方式

  1. 依所在分支更新：6.3.x 至 6.3.12 以上、7.0.x 至 7.0.7 以上、7.1.x 至 7.1.2 以上（建議直接更新至所在分支最新版）；更舊的分支應升級至包含修正的版本
  2. 使用 Graylog Forwarder 者，更新至 7.3 或更新的版本
  3. Enterprise / Security 版可查看 Indexing and Processing Failures 索引，找出因解析錯誤被丟棄的訊息
  4. 稽核紀錄中以「access token deleted from user」開頭的紀錄為權杖刪除事件，可檢查是否有異常

暫時無法更新時

  • 原廠表示兩項漏洞均無可行的暫時緩解措施，應更新至已修正版本；檢查失敗訊息與稽核紀錄僅供調查，不能取代更新

如何確認是否受影響

  • 於 Graylog 網頁介面「System → Overview」或「System → Nodes」查看 Server 版本，並逐一確認已部署的 Forwarder 版本
  • 於「System → Inputs」確認是否有接收 FortiGate 等 key-value 格式 syslog 的輸入（僅適用解析漏洞；未接收此類訊息不能排除權杖撤銷漏洞）

參考來源

Graylog GitHub Security Advisory GHSA-gqr6-r77p-c2pj：Fortigate syslog message parsergithub.comGraylog GitHub Security Advisory GHSA-j769-9gv9-65gr：Token revocation endpointgithub.comGraylog Changeloggo2docs.graylog.orgNVD：CVE-2026-55841nvd.nist.govCISA Known Exploited Vulnerabilities Catalog（官方資料集）www.cisa.gov

本文依原廠與公開漏洞資料庫資訊整理，實際影響請以原廠公告為準。

相關公告