Check Point firewall vulnerability : CVE-2024-24919

[MPAnnihilator]

Hello iedereen,

Ik zie het nog niet op de frontpage, maar het is wel belangrijk genoeg om het hier even te melden denk ik :

Sinds een dag of 3 kregen de partners van Check Point meldingen dat de vendor aanvallen had gevonden op firewalls die SSLVPN aan hadden staan ( Mobile Access blade ) , insights via hun intelligence netwerk...

Stilaan sijpelt meer info door en ondertussen is er een CVE op geplakt : nl CVE-2024-24919.

Gisteren kreeg deze CVE via CVEdetails.com een 7.5 score, maar ondertussen wordt duidelijk dat de impact zwaarder is. Niet alle info op Internet in de eerste persberichten is dus correct.

Bij deze dus een bericht voor zij met klanten met een Check Point firewall die versie r81.x draaien. Niet alle info voorlopig vrijgegeven is zelfs voor de echte technische mensen al volledig verduidelijkt dus er zijn nog wat vragen rond wanneer je exact vulnerable bent, maar van directe contacten met Check Point heb ik wel vernomen dat we met z'n allen best aan het patchen gaan. Na de eerste instructies eergisteren die nogal paniekerig waren ( de voorhamer erin zeg maar ), hebben ze ondertussen patches voor de de meest frequente "hot fix accumulators". ( al zit het probleem wel nog wat dieper en moeten er nog oplossingen komen ... to be continued ). Maar alles wat op versie r81.x draait, en waar iets van "Mobile access blade" of client VPN vinkjes actief heeft gestaan of staat op het gateway object, is vulnerable.

(Blijkbaar kan men via de CVE die momenteel nog niet verspreid is ( 3 gevallen ), alle lokale users hun pw achterhalen ( AD sync accounts ook ). Lijkt me dus dat een CVE score van 7.5 vrij optimistisch is.)

Meer info hierover houden ze bij op hun knowledge base : sk182336

Mocht voor jouw firewall of jouw klanten hun firewall versie ( HFA versie ) nog geen patch vermeld staan, dan moet je bij Check Point TAC een ticket openen. Zij bezorgen je dan een patch voor jouw HFA versie.

[kodak]

Het is een securitybug die je zeker maar beter kan patchen, maar ondertussen wel bestaat door een combinatie van gebrekkige beveiliging.

Het probleem van de securitybug zelf is dat een crimineel, onder bepaalde omstandigheden, wachtwoordhashes kan proberen te krijgen. Dat je maar beter niet zomaar op wachtwoordhashes kan vertrouwen om wachtwoorden geheim te houden was vorige eeuw al duidelijk. En daarom kun je voor toegang tot een belangrijk apparaat als een vpn ook al jaren maar beter multi factor authentication toepassen. Maar het apparaat heeft dan alsnog niet zomaar alleen MFA accounts. Bijvoorbeeld doordat het met een wachtwoord toegang moet hebben tot een LDAP service (wat een crimineel heel veel mogelijkheden extra kan geven). En zelfs bij MFA ben je niet van het probleem af dat gebruikers wachtwoorden hergebruiken voor andere services, die toegang geven tot bijvoorbeeld belangrijke gegevens of dienstverlening.

Daarom is het patchen niet alleen belangrijk maar ook om er niet zomaar vanuit te gaan dat je daar op tijd mee bent. Want de patch zorgt er niet voor dat gelekte hashes onbruikbaar zijn. Het voorkomt niet dat criminelen al verder in je netwerk en andere systemen zitten (wat goed mogelijk is bij de omstandigheden die nodig zijn om van deze securitybug gebruik te kunnen maken). En de patch geeft je geen zekerheid dat er geen andere securitybugs zijn om alsnog aan de vernieuwde wachtwoordhashes te komen.

De omstandigheden om de securitybug te kunnen gebruiken zijn te makkelijk toegankelijke apparatuur vanaf het internet of via een lokale gebruiker, of zelfs een reverse shell via remote development extensions in Visual Studio (VS) Code.

En als je hierna toch bezig bent met de beveiliging van je apparatuur en systemen te verbeteren, bedenk dan ook eens om bij je leverancier en fabrikant te gaan eisen dat ze je bewijs te leveren veilig te ontwikkelen. Want het aantal securitybugs met grote gevolgen in beveiligingsapparatuur zijn bijna niet meer te tellen.

Informatie over de patches en maatregelen zijn hier te lezen https://support.checkpoint.com/results/sk/sk182336

Voorbeelden hoe criminelen het gebruiken zijn bijvoorbeeld hier te vinden.
https://www.mnemonic.io/r...erability-cve-2024-24919/

[ Voor 8% gewijzigd door kodak op 31-05-2024 11:39 ]

[BytePhantomX]

Kwetsbaarheid lijkt door echt een basic programmeer fout en heel eenvoudig te misbruiken: https://labs.watchtowr.co...eck-point-cve-2024-24919/

Ik voorzie dat Checkpoint fortinet achtend gaat en er komende tijd veel meer vulnerabilities uit gaan komen.

[Yariva]

BytePhantomX schreef op vrijdag 31 mei 2024 @ 15:08:
Kwetsbaarheid lijkt door echt een basic programmeer fout en heel eenvoudig te misbruiken: https://labs.watchtowr.co...eck-point-cve-2024-24919/

Ik voorzie dat Checkpoint fortinet achtend gaat en er komende tijd veel meer vulnerabilities uit gaan komen.

Het klinkt alsof je de grote hoeveelheid Fortinet CVE's een probleem vindt. Vaak zijn de tegenstanders van dit argument juist blij met de vele CVE's gezien het transparantie vanuit interne bevindingen laat zien welke opgelost worden.

Of je doelt erop dat Checkpoint nu de interne checks gaat aanschroeven, net hoe je de zin interpreteert.

[MPAnnihilator]

Ze gaan er niet blij mee zijn bij CP, maar ze beweren enkel dat ze tov de competitie veel sneller CVE's aanpakken, niet dat ze er geen kunnen hebben.

Deze was eerlijk gezegd wel een flater van jewelste denk ik, maar de fix was er na 1 dag.

[BytePhantomX]

Yariva schreef op vrijdag 31 mei 2024 @ 17:45:
[...]


Het klinkt alsof je de grote hoeveelheid Fortinet CVE's een probleem vindt. Vaak zijn de tegenstanders van dit argument juist blij met de vele CVE's gezien het transparantie vanuit interne bevindingen laat zien welke opgelost worden.

Of je doelt erop dat Checkpoint nu de interne checks gaat aanschroeven, net hoe je de zin interpreteert.

In het algemeen merk ik dat leveranciers van security producten hun basis niet op orde hebben. Niet als het gaat om best practices rondom secure coding, maar ook niet als het gaat om het melden van kwetsbaarheden. Deze is door CP gedownplayed wat ik storend vind gezien het risico.

En dit zal niet de enige plek in de software zijn waar ze geen secure coding hebben toegepast. Je kunt dus wachten op de volgende kritische kwetsbaarheid. Bij Citrix, Ivanti en FortiNet is het een continue stroom aan het worden en dat betekent dat er telkens weer spoed patches gedaan moeten worden, met alle impact van dien.