Check Point 22. jūlijā izlaida ielāpus caurumam CVE-2026-16232 savos pārvaldības serveros. Ievainojamība ļauj neautentificētam uzbrucējam iegūt lietojumprogrammas pieteikšanās žetonu un ar to pieslēgties caur SmartConsole ar pilnām administratora tiesībām. Ar tādām tiesībām uzbrucējs var pārrakstīt drošības politiku visos pārvaldītajos ugunsmūros.
Uzbrukumi jau notiek. Check Point ziņo, ka skarts neliels skaits klientu. ASV kiberdrošības aģentūra CISA pievienoja caurumu savam aktīvi izmantoto ievainojamību katalogam un noteica federālajām iestādēm termiņu novērst to līdz 25. jūlijam. Bīstamības vērtējums CVSS skalā svārstās no 9,1 pēc CISA aprēķina līdz 9,3 pēc Check Point aprēķina.
Kas tieši ir salauzts
Cauruma pamatā ir nepareiza autentifikācija (CWE-287) SmartConsole pieteikšanās procesā. SmartConsole ir grafiskā konsole, ar kuru administratori pārvalda Check Point ugunsmūrus. Parastā gaitā pieteikšanās izmanto lietojumprogrammas žetonu, bet serveris šo žetonu pārbauda nepilnīgi. Tāpēc uzbrucējs bez derīgiem akreditācijas datiem var iegūt žetonu un uzdoties par likumīgu administratoru.
Pēc pieslēgšanās uzbrucējam ir pieejama visa servera vadība. Rapid7 apraksta, ka uzbrucējs var mainīt drošības politiku pārvaldītajos ugunsmūros, pārveidot administratoru atļaujas, grozīt VPN konfigurācijas un izslēgt vai sabojāt žurnālēšanu. Pēdējais ir bīstams tāpēc, ka slēpj uzbrukuma pēdas.
Kāpēc pārvaldības serveris ir vērtīgs mērķis
Check Point ugunsmūri lielos tīklos nedarbojas katrs atsevišķi. Politiku tiem centralizēti nosaka pārvaldības serveris, kuru administrators rediģē caur SmartConsole. Kas pārņem šo serveri, tas kontrolē noteikumus visiem pieslēgtajiem ugunsmūriem uzreiz. Tāpēc caurums pārvaldības slānī ietekmē daudz plašāku loku nekā uzlaušana vienā vārtejā.
Uzbrucējs ar administratora tiesībām var atvērt jaunu ceļu tīklā, izslēgt bloķēšanas noteikumus vai novirzīt datu plūsmu. Tā kā tas pats serveris glabā arī žurnālus, uzbrukums var palikt nepamanīts, ja žurnālēšana tiek izslēgta. Drošības ierīces pēdējos gados ir kļuvušas par iecienītu mērķi tieši šī iemesla dēļ: tās stāv tīkla malā un tām ir augstas tiesības.
Kuras versijas skartas
Caurums skar Check Point Security Management un Multi-Domain Security Management serverus. Skartās laidienu līnijas ir R81.10, R81.20, R82 un R82.10, kā arī vairākas vecākas versijas, kurām atbalsts jau beidzies.
Labojumi pieejami kā Jumbo hotfix paketes:
- R82.10: Jumbo Hotfix Take 36 vai jaunāka
- R82: Jumbo Hotfix Take 118 vai jaunāka
- R81.20: Jumbo Hotfix Take 158 vai jaunāka
Vecākajām līnijām, tostarp R81.10 un R80.x, oficiāls labojums nav norādīts. Instrukcijas Check Point apkopoja ziņojumā sk185169.
Pakete novērš nepilnīgo žetona pārbaudi, tāpēc serveris vairs nepieņem pieteikšanās žetonu no nepilnvarota avota. Kamēr hotfix nav uzlikts, pati SmartConsole pieejamība no interneta ir galvenais riska faktors. Organizācijām ar vecākām, jau bez atbalsta esošām versijām vienīgais drošais ceļš ir pāreja uz atbalstītu laidienu vai piekļuves stingra norobežošana.
Kad uzbrukums nostrādā
Attālināta izmantošana nav iespējama jebkurā konfigurācijā. Uzbrucējam vajag divus priekšnoteikumus: interneta piekļuvi pārvaldības servera IP adresei un Trusted Clients sarakstu bez ierobežojumiem. Trusted Clients ir saraksts ar IP adresēm, no kurām atļauts pieteikties grafiskajā konsolē. Ja tas ir plaši atvērts, uzbrucējs no interneta var mēģināt pieslēgties.
Daudzās organizācijās pārvaldības serveris nav tieši sasniedzams no interneta. Tas ievērojami sašaurina uzbrukuma iespēju loku. Taču konfigurācijas, kur konsole pieejama attālināti bez stingra IP saraksta, nav retums, īpaši tur, kur administratori strādā no dažādām vietām. Tieši šādas iekārtas ir pakļautas riskam vislielākajā mērā.
Galvenā aizsardzība ir ierobežot Trusted Clients tikai līdz uzticamām IP adresēm un aizsargāt pārvaldības piekļuvi ar ugunsmūra noteikumiem.
Ko darīt tagad
Pirmais solis ir uzlikt attiecīgo Jumbo hotfix paketi. Ja to nevar izdarīt uzreiz, Check Point iesaka ierobežot Trusted Clients tikai līdz zināmām IP adresēm vai apakštīkliem, aizsargāt pārvaldības piekļuvi ar ugunsmūra noteikumiem un pārliecināties, ka ieslēgti implied control connection noteikumi.
Kopā ar ielāpu Check Point publicēja sešas uzbrucēju IP adreses, lai administratori tās varētu meklēt savos žurnālos. The Hacker News norāda, ka izmantošana notikusi vēl pirms ielāpa pieejamības. Tāpēc žurnālu pārbaude ir tikpat vajadzīga kā pati atjaunināšana.
Žurnālos vērts meklēt negaidītas SmartConsole pieslēgšanās, jaunus vai mainītus administratoru kontus un politikas izmaiņas, kuras neviens no komandas nav veicis. Sešas Check Point publicētās IP adreses ir pirmais, ar ko salīdzināt pieslēgšanās avotus. Ja serveris kādā brīdī bija atvērts internetam bez Trusted Clients ierobežojuma, pārbaude jāveic pat tad, ja acīmredzamu izmaiņu nav.
CISA aktīvi izmantoto ievainojamību katalogs uzskaita caurumus, kuriem ir apstiprināti reāli uzbrukumi. Iekļaušana katalogā ASV federālajām iestādēm uzliek pienākumu novērst caurumu noteiktā termiņā. Pārējiem tas ir signāls, ka caurumu kāds jau izmanto praksē un ka atlikšana ar katru dienu palielina risku.
Federālajām iestādēm ASV termiņš caurumu novērst bija 25. jūlijs. Privātā sektora administratoriem tāda termiņa nav. Check Point publicētās sešas IP adreses paliek galvenais pavediens, pēc kura pārbaudīt, vai serveris jau ticis aizskarts.
Komentāri
Šim rakstam vēl nav komentāru. Esi pirmais, kurš dalās ar savu viedokli.