Check Point VPN Sicherheitslücke legt Informationen offen
Table of Contents
Ende Mai hat Check Point Security eine Warnmeldung zu einer Schwachstelle in seinen Netzwerksicherheits-VPN-Gateways veröffentlicht. Die Schwachstelle CVE-2024-24919 ermöglicht potenziell einem Angreifer, bestimmte Informationen auf Internet-verbundenen Gateways mit aktiviertem Remotezugang VPN oder mobilem Zugriff auszulesen. Die bisher beobachteten Angriffsversuche konzentrieren sich auf Szenarien mit alten lokalen Konten und nur passwortgeschützter Authentifizierung, die als nicht empfehlenswert gilt.
Betroffene Produkte: CloudGuard Network, Quantum Maestro, Quantum Scalable Chassis, Quantum Security Gateways, Quantum Spark Appliances
Versionen: R77.20 (EOL), R77.30 (EOL), R80.10 (EOL), R80.20 (EOL), R80.20.x, R80.20SP (EOL), R80.30 (EOL), R80.30SP (EOL), R80.40 (EOL), R81, R81.10, R81.10.x, R81.20
Check Point empfiehlt dringend, keine passwortgeschützten Authentifizierungsmethoden zu verwenden und zusätzliche Authentifizierungsebenen wie Zertifikate hinzuzufügen. Kunden sollten die neueste Lösung von Check Point auf ihren Sicherheitsgateways implementieren, um unbefugten Zugriff zu verhindern. Eine genaue Anleitung zum Fix finden Sie in folgendem Artikel von Check Point.
Update: Proof of Concept
Ein Proof of Concept (PoC) für die Sicherheitslücke CVE-2024-24919 in Check Point Security Gateways nutzt den folgenden cURL-Befehl, um zu überprüfen, ob ein System anfällig ist. Der Befehl sendet eine POST-Anfrage an den Server und versucht, den Inhalt der Datei /etc/passwd zu lesen, um festzustellen, ob die Schwachstelle ausgenutzt werden kann:
curl -i -s -k -X POST \ -H 'Host: <IP-Adresse>' \ -H 'Content-Length: 39' \ --data-binary 'aCSHELL/../../../../../../../etc/passwd' \ 'https://<IP-Adresse>/clients/MyCRL'
Der Befehl deaktiviert die SSL-Verifizierung (-k), setzt den Host-Header und sendet die Nutzlast, die versucht, auf sensible Dateien zuzugreifen. Wenn die Antwort typische Benutzernamen wie “root”, “admin” oder “nobody” enthält, ist das System anfällig. Ein unauthorisierter Angreifer kann also remote einfach die Passworthashes der User stehlen. Administratoren werden daher dringend aufgerufen zu patchen.