Page précédente Page suivante Partager sur X Imprimer
Classification Cert-IST

Conséquences :
Obtention d'un accès
Atteinte à la confidentialité des données

Moyens nécessaires à l’attaquant :
A distance sans compte et sans interaction utilisateur

Exploit public :
Oui

Niveau d’activité :
Attaques signalées

Notes CVSS v 3.0

Cert-IST - CERT-IST/AL-2024.007

9.8
Score de base
AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
9.1
Score temporel
AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H/E:F/RL:O/RC:C
Nota : Echelle de sévérité
Non évalué
Faible
de 0,1 à 3,9
Moyen
de 4,0 à 6,9
Elevé
de 7,0 à 8,9
Critique
de 9,0 à 10,0
Identifiant(s) du problème
Remonter HAUT DE PAGE

Alerte orange

CERT-IST/AL-2024.007

Attaques en cours visant les VPN Check Point (CVE-2024-24919)

Version : 1.1
Date de version : 31 Mai 2024

Description

Nature du problème :

Nous émettons cette alerte parce que Check Point a publié le 29/05/2024 une mise à jour urgente à déployer sur les équipements Check Point sur lesquels la fonction VPN est active (cf. notre avis CERT-IST/AV-2024.1057). Cette mise à jour corrige la vulnérabilité CVE-2024-24919.

Check Point décrit cette vulnérabilité comme permettant à un attaquant distant non authentifié de voler des informations sensibles. Selon les analyses publiées par Mnemonic et watchTowr l’attaquant peut voler les empreintes des mots de passes des comptes locaux, ce qui peut lui permettre de se connecter sur le VPN Check Point.

Nota :

  • Check Point indique que cette vulnérabilité est exploitée dans des attaques depuis le 7 avril (le 30 Avril avait été mentionné auparavant).
  • watchTowr a publié un article contenant des détails techniques de cette vulnérabilité. Nous considérons que suffisamment de détails sont disponibles pour traiter cela comme un code d'exploitation.
  • Check Point a publié un premier message sur ces attaques le 27 mai 2024 que nous avons relayé dans notre message INFO-2024.013. Ils demandaient alors de bloquer l'accès au VPN pour les comptes locaux.

Informations sur le(s) système(e) impacté(s)

Plate(s)-forme(s) impactées :

  • GAiA systems :
    • Quantum Security Gateway et CloudGuard Network Security,
    • Quantum Maestro et Quantum Scalable Chassis,
    • Quantum Spark Appliances

Logiciel(s) impactés :

  • GAiA versions :
    • R81.20
    • R81.10
    • R81
    • R80.40
    • R80.30SP
    • R80.20SP
    • R77.20.x

Liste exhaustive des produits du catalogue Cert-IST impactés

Solution

01 - Appliquer les correctifs Check Point décrits dans l’avis CERT-IST/AV-2024.1057

02 - Rechercher des traces d’attaques

Incateurs de compromissions:
Des IOC ont été publiés (par exemple par Check Point et Mnemonic). Ils sont disponibles dans la base MISP du Cert-IST (rechercher les événements associés à CVE-2024-24919) pour les adhérents ayant souscrit ce service.

Pattern d’attaque :
Les attaques connues à ce jour utilisent des requêtes « POST /clients/MyCRL » ou « GET /clients/MyCRL » avec une chaine de caractères spécifique dans la section data de la requête HTTP : « aCSHELL[/]..[/].. » (nous avons ajouté des crochets dans cette chaine).

Nota : des variantes de cette signature (non détectées par le pattern ci-dessus) pourrait apparaitre.

Documentation additionnelle

Version Commentaire Date
1.0 Création de l'alerte 30 Mai 2024
1.1 Ajout d’un programme d’exploitation, d’un pattern d’attaque (section solution) et changement du 30 avril en 7 avril 31 Mai 2024