Gli attori delle minacce stanno prendendo di mira i dispositivi Remote Access VPN di Check Point in una campagna in corso per violare le reti aziendali, grazie allo sfruttamento attivo della vulnerabilità zero-day tracciata come CVE-2024-24919 e già corretta dal vendor che ha rilasciato un hotfix urgente.
La vulnerabilità risulta essere facile da sfruttare a distanza, in quanto non richiede interazione dell’utente o privilegi sui gateway di sicurezza.
È dunque importante applicare quanto prima la patch ai propri sistemi per metterli in sicurezza: lo sfruttamento della vulnerabilità, infatti, potrebbe consentire a un utente malevolo remoto di carpire informazioni sensibili e ottenere l’accesso agli account target.
Secondo il bollettino di sicurezza pubblicato dal CSIRT Italia, la stima d’impatto della vulnerabilità (che ha ottenuto un punteggio CVSS di 7.5 su 10) è grave/rosso (78,07/100) e le tipologie di attacco possibili sono di Information Disclosure e di Security Restrictions Bypass.
Indice degli argomenti
I dettagli della vulnerabilità zero-day
Già lunedì scorso Check Point aveva avvertito i propri clienti del fatto che gli attaccanti stavano prendendo di mira i loro gateway di sicurezza utilizzando vecchi account VPN locali con autenticazione insicura basata solo su password.
L’azienda ha quindi rilasciato gli hotfix per bloccare i tentativi di sfruttamento della vulnerabilità contro i prodotti CloudGuard Network, Quantum Maestro, Quantum Scalable Chassis, Quantum Security Gateways e Quantum Spark.
“La vulnerabilità consente potenzialmente a un attaccante di leggere alcune informazioni sui gateway connessi a Internet con VPN di accesso remoto o accesso mobile abilitato”, ha spiegato Check Point nel relativo avviso di sicurezza.
Le analisi effettuate dagli stessi ricercatori di sicurezza di Check Point hanno evidenziato scenari di accesso remoto ai sistemi di sicurezza protetti con vecchi account locali con autenticazione basata solo su password, sebbene si tratti di una policy non raccomandata.
La motivazione principale degli attaccanti sembra dunque essere quella di ottenere accesso alle organizzazioni target attraverso configurazioni di accesso remoto: l’obiettivo è individuare risorse aziendali rilevanti e utenti “deboli”, cercando vulnerabilità per mantenere la persistenza su asset aziendali chiave.
Lo sfruttamento della vulnerabilità CVE-2024-24919, inoltre, potrebbe consentire agli attori della minaccia non autorizzati di estrarre informazioni riservate dai gateway connessi a Internet, inclusi i codici hash delle password di tutti gli account locali che potrebbero consentire di compromettere le password deboli e condurre movimenti laterali all’interno della rete esposta.
Le versioni delle applicazioni di sicurezza esposte
Come riportato nella nota di rilascio, l’applicazione dell’hotfix consente di bloccare tutti i tentativi di accesso mediante credenziali deboli e metodi di autenticazione non sicuri.
I prodotti e le versioni dei sistemi di sicurezza affette sono le seguenti:
- Security Gateway e CloudGuard Network Security, versioni:
- R81.20
- R81.10
- R81
- R80.40
- Quantum Maestro and Quantum Scalable Chassis, versioni
- R81.20
- R81.10
- R80.40
- R80.30SP
- R80.20SP
- Quantum Spark Gateways, versioni:
- R81.10.x
- R80.20.x
- R77.20.x
Come mitigare il rischio
Vista la gravità della vulnerabilità in analisi, è ovviamente consigliabile applicare quanto prima gli hotfix rilasciati da Check Point.
Per applicare l’aggiornamento, è necessario accedere al pannello di controllo Security Gateway/Software Updates/Available Updates/Hotfix Updates e cliccare su Install. Il processo dovrebbe richiedere circa 10 minuti e sarà necessario un riavvio.
Il vendor precisa che gli hotfix sono disponibili anche per le versioni End-of-Life (EOL) dei prodotti, ma devono essere scaricati e applicati manualmente.
Il nostro CSIRT Italia consiglia anche di attivare le seguenti misure preventive:
- mantenere sempre aggiornate le soluzioni software VPN;
- verificare che la propria configurazione sia correttamente implementata e che utilizzi protocolli sicuri (ad es. OpenVPN o IPsec), disabilitando eventuali funzionalità aggiuntive non necessarie;
- implementare meccanismi di autenticazione a più fattori (MFA);
- utilizzare le best practice per la gestione degli accessi (IAM);
- prevedere l’adozione di password complesse e adottare il principio del privilegio minimo (least privilege);
- prevedere l’adozione di una lockdown policy, verificando inoltre che le password inserite non siano contenute in data breach pubblici e valutando l’opportunità di forzare un reset password complessivo per tutta l’utenza;
- filtrare il traffico VPN tramite l’utilizzo di firewall e segmentare la rete per limitare la propagazione di eventuali minacce.
