Technischer Support
Dokumentation
Anmeldung
Kontakt
TuxCare BlogCheck Point Warnung: Zero-Day-Angriff auf VPN-Gateway-Produkte
von Wajahat Raja
13. Juni 2024. TuxCare-Expertenteam
Check Point hat eine Warnung bezüglich eines kritischen Zero-Day Schwachstelle in seinen Network Security Gateway-Produkten veröffentlicht. Gemäß der Check Point Warnung Diese Sicherheitslücke, verfolgt als CVE-2024-24919 mit einem CVSS-Score von 8.6, wurde aktiv von Bedrohungsakteuren in freier Wildbahn ausgenutzt. Zu den betroffenen Produkten gehören CloudGuard Network, Quantum Maestro, Quantum Scalable Chassis, Quantum Security Gateways und Quantum Spark Appliances.
Details zu den Schwachstellen in Check Point-Produkten
Laut der Check Point Warnungerlaubt die Schwachstelle Angreifern, bestimmte Informationen von mit dem Internet verbundenen Gateways zu lesen, die VPN-Fernzugriff oder mobilen Zugriff aktiviert haben. Das Unternehmen hat Hotfixes für mehrere Versionen seiner Produkte veröffentlicht, um dieses Problem zu beheben. Zu den gepatchten Versionen gehören:
- Quantum Security Gateway und CloudGuard Network Security Versionen: R81.20, R81.10, R81, R80.40
- Quantum Maestro und Quantum Scalable Chassis-Versionen: R81.20, R81.10, R80.40, R80.30SP, R80.20SP
- Quantum Spark Gateways Versionen: R81.10.x, R80.20.x, R77.20.x
Hintergrund der Ausbeutung
Gemäß der Check Point Warnung, wurde die Schwachstelle mindestens seit dem 30. April 2024 ausgenutzt. Check Point entdeckte zunächst eine kleine Anzahl von Anmeldeversuchen mit veralteten lokalen VPN-Konten, die sich auf reine Passwort-Authentifizierungsmethoden stützten. Diese Aktivitäten konnten nun auf die neu entdeckte Zero-Day-Schwachstelle zurückgeführt werden. Besonders betroffen sind Check Points Security Gateways mit IPSec VPN, Remote Access VPN und die Mobile Access Software Blade.
Die Warnung von Check Point stellte fest, dass die Lieferketten-Cyberattacken bisher auf den Fernzugriff über alte lokale Konten mit schwacher Passwort-Authentifizierung abzielten. Obwohl das Unternehmen keine detaillierten Informationen über die Art der Angriffe geliefert hat, betonte es, wie wichtig es ist, diese Schwachstelle umgehend zu beheben.
Weitreichende Auswirkungen auf VPN-Geräte
Die Angriffe auf VPN-Geräte sind Teil eines umfassenderen Trends von Angriffen auf Anwendungen am Netzwerkrand. Ähnliche Vorfälle betrafen Geräte von Barracuda NetworksCisco, Fortinet, Ivanti, Palo Alto Networks und VMware in den letzten Jahren betroffen. Angreifer sind zunehmend motiviert, Fernzugriffseinrichtungen zu überwinden, um Zugang zu Unternehmensressourcen zu erhalten und Schwachstellen in VPN-Gateways um innerhalb von Netzwerken bestehen zu können.
Check Point Warnung - Hinweise und Beobachtungen von Sicherheitsfirmen
In einem am 5. Juni 2024 veröffentlichten Advisory wies das Cybersicherheitsunternehmen mnemonic auf die kritische Natur von CVE-2024-24919 hin. Das Unternehmen hat seit dem 30. April 2024 Ausnutzungsversuche beobachtet, die auf die Umgebungen seiner Kunden abzielten. Laut mnemonic ermöglicht es die Schwachstelle Unbefugten, Informationen von mit dem Internet verbundenen Gateways zu extrahieren, einschließlich Passwort-Hashes für alle lokalen Konten.
Diese Schwachstelle ist besonders besorgniserregend, weil sie keine Benutzerinteraktion oder -rechte erfordert, um sie auszunutzen. Die extrahierten Kennwort-Hashes, insbesondere die von alten lokalen Benutzern mit schwachen Kennwörtern, können kompromittiert werden, so dass Angreifer sich seitlich in Netzwerken bewegen können. Mnemonic hat festgestellt, dass Angreifer diese Schwachstelle genutzt haben, um Active Directory-Daten (NTDS.dit) innerhalb von zwei bis drei Stunden nach der Anmeldung mit einem lokalen Benutzer zu extrahieren.
Dringender Bedarf für den Schutz von VPN-Gateways
Censys, ein Unternehmen für die Verwaltung von Angriffsflächen, berichtete, dass am 31. Mai 2024 13.802 Internet-Hosts entweder einer CloudGuard-Instanz, Quantum Security oder einem Quantum Spark-Gateway ausgesetzt waren. Obwohl Check Point den CVE-2024-24919-Schwachstelle als Schwachstelle für die Offenlegung von Informationen bezeichnete, stellte sich bei einer weiteren Analyse durch watchTowr Labs heraus, dass es sich um einen Fehler bei der Pfadumgehung handelt. Diese Schwachstelle ermöglicht es Angreifern, beliebige Dateien zu lesen, einschließlich sensibler Dateien wie "/etc/shadow".
Die Sicherheitsforscherin Aliz Hammond warnte dass die anfängliche Erklärung von Check Point den Schweregrad dieses Fehlers herunterspielen könnte. Da öffentliche Proof-of-Concept-Exploits verfügbar sind und reale Angriffe stattfinden, betonte Hammond, wie wichtig es ist, diese Schwachstelle als schwerwiegende, nicht authentifizierte Remotecodeausführung (RCE) zu behandeln. Die Geräteadministratoren werden dringend aufgefordert, die Patches sofort anzuwenden.
Entschärfung von Zero-Day-Angriffen
Warnung von Check Point erklärte, dass die ersten Ausnutzungsversuche am 7. April 2024 entdeckt wurden. Das Unternehmen setzt seine Untersuchung fort und empfiehlt die sofortige Check Point Gateways zu patchen um die wachsenden Remote Access VPN Sicherheitsrisiken.
Schlussfolgerung
Unternehmen, die die betroffenen Produkte von Check Point einsetzen, sollten daher vorrangig die verfügbaren Hotfixes anwenden, um ihre Systeme vor dieser kritischen Zero-Day-Schwachstelle zu schützen und Schutz vor VPN-Angriffen. Implementierung von Best Practices für Netzwerksicherheit ist für den Schutz sensibler Daten und die Aufrechterhaltung der Integrität Ihrer IT-Infrastruktur unerlässlich. Rasches Handeln wird dazu beitragen, unbefugten Zugriff und potenzielle Netzwerkverletzungen zu verhindern.
Zu den Quellen für diesen Beitrag gehören Artikel in den Hacker-Nachrichten und Sicherheitswoche.
