CVE-2024-24919
Check Point Quantum Security Gateways Information Disclosure Vulnerability
Beschreibung
CVE-2024-24919 ist eine Path-Traversal-Schwachstelle in Check Point Quantum Security Gateways, die es einem nicht authentifizierten Angreifer ermoeglicht, sensible Informationen vom Gateway auszulesen. Betroffen sind Geraete mit aktiviertem Remote Access VPN oder Mobile Access Software Blade. Mit einem CVSS-Score von 8.6 (HIGH) und einem EPSS-Score von 94,34 % (100,0. Perzentil) gehoert diese Schwachstelle zu den am aktivsten ausgenutzten Sicherheitsluecken. Die CISA hat CVE-2024-24919 in den KEV-Katalog aufgenommen, und die Schwachstelle ist als bekannt fuer Ransomware-Angriffe klassifiziert. Betroffen sind Check Point Quantum Security Gateways, Quantum Spark Firmware und CloudGuard Network Security in verschiedenen Versionen.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:N/A:NIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| checkpoint | quantum spark firmware | r80.40; r81; r81.10; r80.20 |
| checkpoint | quantum security gateway firmware | r80.40; r81.20; r81.10; r81 |
| checkpoint | cloudguard network security | r80.40; r81; r81.10; r81.20 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:N/A:N
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:N/A:N
Referenzen
- https://support.checkpoint.com/results/sk/sk182336(Mitigation, Patch, Vendor Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2024-24919(US Government Resource)
- https://www.mnemonic.io/resources/blog/advisory-check-point-remote-access-vpn-vulnerability-cve-2024-24919/(Third Party Advisory)
Schwachstellentyp
Fuer CVE-2024-24919 ist kein spezifischer CWE-Typ im NVD eingetragen. Basierend auf der Schwachstellenbeschreibung handelt es sich um eine Path-Traversal-Schwachstelle zur Informationsexfiltration.
CWE-22: Improper Limitation of a Pathname to a Restricted Directory ('Path Traversal')
CWE-22 (Path Traversal) beschreibt eine Schwachstellenklasse, bei der eine Anwendung vom Benutzer bereitgestellte Pfadnamen nicht ausreichend validiert, sodass ein Angreifer auf Dateien ausserhalb des vorgesehenen Verzeichnisses zugreifen kann. Im Fall von CVE-2024-24919 kann ein entfernter Angreifer ueber die VPN-Schnittstelle der Check Point Security Gateways beliebige Dateien vom System lesen, darunter Passwoerter, Zertifikate und Konfigurationsdateien. Mehr erfahren
Auswirkungsanalyse
Exfiltration sensibler Sicherheitsdaten: Die Auswirkungen dieser Schwachstelle sind besonders gravierend fuer die Vertraulichkeit. Vertraulichkeit (C:H) mit geaendertem Scope (S:C) bedeutet, dass nicht nur Daten des Security Gateways selbst, sondern auch Informationen ueber das geschuetzte Netzwerk dahinter gefaehrdet sind. Angreifer koennen Passwort-Hashes, VPN-Konfigurationen, Zertifikate, Benutzerdaten und Netzwerktopologie-Informationen auslesen. Integritaet (I:N) und Verfuegbarkeit (A:N) sind nicht direkt betroffen, da es sich um einen reinen Lesezugriff handelt.
Triviale Ausnutzung ohne Authentifizierung: Der CVSS-Vektor zeigt einen netzwerkbasierten Angriff (AV:N) mit niedriger Komplexitaet (AC:L), der keine Authentifizierung (PR:N) und keine Benutzerinteraktion (UI:N) erfordert. Die besonders hohe Bewertung durch den geaenderten Scope (S:C) spiegelt wider, dass die exfiltrierten Daten zur Kompromittierung weiterer Systeme verwendet werden koennen.
EPSS und Ransomware: Der EPSS-Score von 94,34 % (100,0. Perzentil) zeigt eine extrem hohe Ausnutzungswahrscheinlichkeit. Die Schwachstelle ist als Known fuer Ransomware-Verbindungen klassifiziert. Exfiltrierte VPN-Anmeldedaten und Zertifikate werden von Ransomware-Gruppen genutzt, um initialen Zugang zu Unternehmensnetzwerken zu erlangen.
Exploit-Reifegrad
CVE-2024-24919 weist eine sehr hohe Exploit-Reife mit breit angelegter aktiver Ausnutzung auf. Check Point hat ein Security Advisory und Hotfix veroeffentlicht, und die Schwachstelle wurde von mnemonic als Drittanbieter-Advisory dokumentiert.
EPSS-Kontext: Mit einem EPSS-Score von 94,34 % (100,0. Perzentil) gehoert CVE-2024-24919 zum absoluten Spitzensegment der am wahrscheinlichsten ausgenutzten Schwachstellen weltweit. Dies reflektiert die massiven Angriffswellen, die nach der Veroeffentlichung der Schwachstelle beobachtet wurden.
Oeffentliche Exploit-Informationen: Die Schwachstelle ist trivial ausnutzbar und erfordert lediglich eine speziell praeparierte HTTP-Anfrage an die VPN-Schnittstelle. Zahlreiche Exploit-Skripte und Anleitungen sind oeffentlich verfuegbar. Sicherheitsforscher haben berichtet, dass innerhalb weniger Stunden nach der Veroeffentlichung grossflaechige Scans und Ausnutzungsversuche beobachtet wurden.
Ransomware-Verbindung: Der Ransomware-Status ist Known. Ransomware-Gruppen nutzen CVE-2024-24919 gezielt, um Anmeldedaten aus VPN-Gateways zu exfiltrieren und sich damit Zugang zu Unternehmensnetzwerken zu verschaffen. Die exfiltrierten Daten eroeffnen einen direkten Weg fuer laterale Bewegung und Ransomware-Deployment.
Behebung
- Check Point Hotfix sofort installieren: Installieren Sie den von Check Point bereitgestellten Hotfix (sk182336) fuer alle betroffenen Gateways. Der Hotfix ist fuer die Firmware-Versionen R80.20, R80.40, R81, R81.10 und R81.20 verfuegbar.
- VPN-Anmeldedaten zuruecksetzen: Da Angreifer moeglicherweise bereits Passwort-Hashes und Benutzerdaten exfiltriert haben, muessen alle lokalen VPN-Benutzerpasswoerter zurueckgesetzt werden. Erzwingen Sie eine Passwortaenderung fuer alle Benutzer und ueberpruefen Sie, ob LDAP/Active-Directory-Anmeldedaten kompromittiert wurden.
- VPN-Zertifikate erneuern: Erneuern Sie alle auf dem Gateway gespeicherten Zertifikate, einschliesslich SSL-VPN-Zertifikate und Site-to-Site-VPN-Schluessel. Exfiltrierte Zertifikate koennten fuer Man-in-the-Middle-Angriffe oder die Entschluesselung von VPN-Verkehr verwendet werden.
- Forensische Analyse durchfuehren: Pruefen Sie Gateway-Logs auf verdaechtige Zugriffsmuster und ungewoehnliche Dateilesezugriffe. Identifizieren Sie, ob und welche Daten exfiltriert wurden. Ueberpruefen Sie alle Systeme, auf die mit den moeglicherweise kompromittierten Anmeldedaten zugegriffen werden konnte.
- Multi-Faktor-Authentifizierung aktivieren: Aktivieren Sie MFA fuer alle VPN-Zugaenge, falls noch nicht geschehen. Selbst wenn Anmeldedaten exfiltriert wurden, verhindert MFA die unberechtigte Nutzung. Implementieren Sie zusaetzlich Anomalie-Erkennung fuer VPN-Anmeldungen.
Technische Details
Die Schwachstelle befindet sich in der Remote Access VPN und Mobile Access Software Blade Komponente von Check Point Security Gateways. Die unzureichende Validierung von Dateipfaden in der VPN-Web-Schnittstelle ermoeglicht einem Angreifer das Lesen beliebiger Dateien vom Gateway-Dateisystem.
CVSS-Vektor im Detail: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:N/A:N - Der Angriff erfolgt netzwerkbasiert (AV:N) mit niedriger Komplexitaet (AC:L), erfordert keine Privilegien (PR:N) und keine Benutzerinteraktion (UI:N). Der geaenderte Scope (S:C) zeigt, dass die Schwachstelle Auswirkungen ueber das betroffene Gateway hinaus hat. Die Vertraulichkeitsauswirkung ist hoch (C:H), waehrend Integritaet (I:N) und Verfuegbarkeit (A:N) nicht betroffen sind.
Angriffsmechanismus: Ein nicht authentifizierter Angreifer sendet eine speziell praeparierte HTTP-Anfrage an die VPN-Web-Schnittstelle des Check Point Gateways. Durch die Path-Traversal-Schwachstelle kann der Angreifer Dateipfade ausserhalb des vorgesehenen Verzeichnisses angeben und so beliebige Dateien vom Gateway lesen. Besonders kritisch sind hierbei /etc/shadow (Passwort-Hashes), Zertifikatsdateien, VPN-Konfigurationen und LDAP-Bind-Passwoerter. Der geaenderte Scope ergibt sich daraus, dass die exfiltrierten Informationen den Zugang zu weiteren Systemen im geschuetzten Netzwerk ermoeglichten.
Betroffene Versionen: Check Point Quantum Security Gateway Firmware R80.40, R81, R81.10 und R81.20; Quantum Spark Firmware R80.20, R80.40, R81 und R81.10; CloudGuard Network Security R80.40, R81, R81.10 und R81.20. Die Schwachstelle ist nur bei aktiviertem Remote Access VPN oder Mobile Access Software Blade ausnutzbar.
Häufig gestellte Fragen
Wie kann ich pruefen, ob mein Check Point Gateway bereits kompromittiert wurde?
Ueberpruefen Sie die Gateway-Logs auf ungewoehnliche Dateizugriffe und verdaechtige HTTP-Anfragen an die VPN-Schnittstelle. Check Point hat im Security Advisory (sk182336) spezifische Indikatoren bereitgestellt. Achten Sie insbesondere auf Zugriffe auf /etc/shadow und Zertifikatsdateien.
Ist mein Gateway betroffen, wenn Remote Access VPN deaktiviert ist?
Nein, die Schwachstelle ist nur ausnutzbar, wenn Remote Access VPN oder Mobile Access Software Blade aktiviert ist. Gateways, die ausschliesslich fuer Site-to-Site-VPN oder als Firewall ohne VPN-Funktionalitaet konfiguriert sind, sind nicht direkt betroffen.
Warum ist CVE-2024-24919 besonders gefaehrlich fuer Unternehmen?
Die Schwachstelle ermoeglicht den Zugriff auf Anmeldedaten und Zertifikate direkt am Perimeter des Unternehmensnetzwerks. Angreifer koennen mit den exfiltrierten VPN-Anmeldedaten direkt auf interne Ressourcen zugreifen, ohne weitere Schwachstellen ausnutzen zu muessen. Dies macht CVE-2024-24919 zu einem idealen Einstiegspunkt fuer Ransomware-Kampagnen.
Reicht der Hotfix aus, oder sind weitere Massnahmen erforderlich?
Der Hotfix schliesst die Schwachstelle, behebt aber nicht die Folgen einer moeglicherweise bereits erfolgten Ausnutzung. Neben dem Hotfix muessen alle Passwoerter zurueckgesetzt, Zertifikate erneuert und eine forensische Analyse durchgefuehrt werden, um sicherzustellen, dass keine unbefugten Zugriffe stattgefunden haben.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.