شرکت چک‌پوینت (Check Point Software) پچ‌های اضطراری (Emergency Hotfixes) را برای رفع یک آسیب‌پذیری با شدت بالا منتشر کرده است. مهاجمان از این حفره امنیتی برای کسب امتیازات سطح Root و ایجاد پایداری (Persistence) در دستگاه‌های آسیب‌پذیر از اواخر اکتبر استفاده کرده‌اند.
این آسیب‌پذیری که با شناسه CVE-2026-123039 شناخته می‌شود، یک نقص در ارتقای سطح دسترسی محلی (Local Privilege Escalation) است که در رابط IPC مربوط به DynamicCLI کشف شده است. این رابط برای ارسال درخواست‌های دستوری سطح بالا به دیمون (Daemon) dynamic_server در سیستم‌عامل Gaia استفاده می‌شود.
جزئیات فنی و زنجیره حمله
تحلیل‌ها نشان می‌دهد که دیمون DynamicCLI در سیستم‌عامل Gaia با سطح دسترسی Root اجرا می‌شود و به یک سوکت محلی (Local Socket) در مسیر /tmp/dynamic_socket گوش می‌دهد که برای همه قابل نوشتن (World-writable) است. از آنجایی که این فرآیند فرآیندهای متصل را احراز هویت نمی‌کند، یک کاربر محلیِ احراز هویت‌شده می‌تواند با ارسال دستور به این سوکت، آن را با سطح دسترسی Root اجرا کند.
در گزارش‌های مرتبط، مشاهده شده است که مهاجمان ابتدا از طریق آسیب‌پذیری PHP2Shell به پورتال Mobile Access دسترسی پیدا کرده و سپس با استفاده از اکسپلویت زیرو دِی (Zero-Day) مذکور، سطح دسترسی خود را به Root ارتقا می‌دهند. پس از آن، عاملان تهدید بدافزارهایی مانند TSGA backdoor و TSProxy را نصب کرده و از طریق گیت‌وی (Gateway) آلوده، به سمت میزبان‌های VMware ESXi حرکت عرضی (Lateral Movement) انجام داده و بدافزارهای تخریب‌گر (Wiper) را مستقر می‌کنند.
محصولات آسیب‌پذیر و اقدامات اصلاحی
لیست محصولات تحت تأثیر شامل موارد زیر است:
- فایروال (Firewall)
- Multi-Domain Security Management Server
- Scalable Platforms
- Security Gateway
- Security Management Server
تیم‌های امنیتی که قادر به اعمال فوری پچ‌ها نیستند، باید به عنوان یک اقدام موقت، فرآیند dynamic_server را متوقف کرده و از اجرای مجدد آن جلوگیری کنند. همچنین بررسی استفاده از تابع system() در ترافیک و دستوراتی که از پوشش (Wrapper) پیش‌فرض Clish استفاده نمی‌کنند، می‌تواند نشانه‌ای از فعالیت‌های مخرب باشد.
