شرکت Check Point در مورد یک آسیب‌پذیری بحرانی از نوع Zero-Day در زیرساخت‌های مدیریت امنیتی خود هشدار داده است. این نقص امنیتی که با شناسه CVE-2026-93616 ردیابی می‌شود، دارای امتیاز CVSS 9.8 است و به مهاجمان اجازه می‌دهد بدون نیاز به احراز هویت (Unauthenticated)، اسکریپت‌های دلخواه خود را روی سرورهای مدیریتی اکسپوز شده آپلود و اجرا کنند.
جزئیات فنی و مکانیسم حمله
این آسیب‌پذیری ترکیبی از نقص Directory Traversal و رفتار ناامن در آپلود فایل در سرویس وب مدیریتی Check Point است. مهاجم با دستکاری مسیرهای فایل (File Paths)، می‌تواند سرویس را مجبور کند تا یک اسکریپت را از مکانی دلخواه اجرا کرده و یک کلاس Java را بدون احراز هویت بارگذاری کند.
بهره‌برداری موفق از این نقص، دسترسی سطح بالای (Privileged) به سیستمی را فراهم می‌کند که مسئول مدیریت سیاست‌های امنیتی و جمع‌آوری داده‌های عملیاتی است و در نتیجه، کنترل کامل لایه مدیریتی شبکه در اختیار مهاجم قرار می‌گیرد.
دامنه اثرات و نسخه‌های آسیب‌پذیر
محصولات تحت تأثیر شامل موارد زیر است:
- Security Management Server
- Multi-Domain Security Management Server
- Log Server و Multi-Domain Log Server
- SmartEvent
نسخه‌های آسیب‌پذیر شامل R82.20، نسخه‌های R82.10 (Jumbo Hotfix Take 44 و قدیمی‌تر)، R82 (Take 126 و قدیمی‌تر)، R81.20 (Take 166 و قدیمی‌تر) و نسخه‌های قدیمی‌تر R81.10 و تمامی ورژن‌های R80 تا R81 هستند. لازم به ذکر است که Smart-1 Cloud به دلیل اعمال اصلاحات، آسیب‌ناپذیر است. همچنین، سیستم‌های LivePatch در نسخه‌های ۲۸ و ۲۹ این مشکل را برطرف نمی‌کنند و طبق اعلام سازنده، به دلیل ماهیت این اصلاحیه، هیچ LivePatchی برای آن ارائه نخواهد شد.
راهکارهای مقابله و شناسایی (Hunting)
به سازمان‌ها توصیه می‌شود فوراً R82.20 Security Hotfix یا Jumbo Hotfix Accumulator اصلاح‌شده را نصب کنند. تا زمان تکمیل عملیات Patching، اقدامات زیر ضروری است:
- قرار دادن سرورهای مدیریتی در پشت یک Security Gateway یا فایروال.
- محدود کردن دسترسی به پورت TCP 19009 تنها برای IPهای مورد اعتماد.
- بررسی دقیق لیست Trusted Clients در SmartConsole.
تیم‌های پاسخ به حادثه (Incident Response) باید در تمامی سرورهای مدیریتی، Log Server و SmartEvent (حتی موارد غیر متصل به اینترنت) به دنبال نشانه‌های زیر باشند:
۱. بررسی لاگ‌های cpm.elg: جستجو برای نام‌های کاربری با طول غیرمعمول و تطبیق آن‌ها با Core Dumpهای FWM یا MDS.
۲. تحلیل خطاهای ReflectionUtils: جستجو برای خطاهایی که نشان‌دهنده شکست در بارگذاری allResourceFiles map است و بررسی مسیرهای بازگشتی برای یافتن توالی‌های Traversal مانند ../.
