Information disclosure

Falha de path traversal nos Security Gateways da Check Point (Quantum, Spark e CloudGuard Network) que expõem Remote Access VPN ou Mobile Access Software Blade à internet, permitindo a um atacante não autenticado ler arquivos arbitrários do sistema de arquivos local. Apesar de classificada oficialmente como 'information disclosure' com impacto de confidencialidade apenas, a exploração na prática permite extrair /etc/shadow, chaves SSH, certificados e hashes de senha de contas locais — incluindo a conta usada para conectar ao Active Directory — o que na prática vira porta de entrada para movimento lateral e comprometimento total da rede.

A vulnerabilidade reside no endpoint HTTP usado pelo Mobile Access Blade para servir CRLs (Certificate Revocation Lists), acessível via /clients/MyCRL. O parâmetro de caminho aceito nesse endpoint não sanitiza sequências de path traversal, permitindo que o atacante manipule o valor para navegar fora do diretório esperado e ler qualquer arquivo legível pelo processo do gateway. O padrão observado em requisições exploratórias usa a string CSHELL seguida de sequências ../../.. para subir diretórios até alcançar caminhos como /etc/shadow.

O CISA classifica a falha sob CWE-200 (exposição de informação), mas a mecânica documentada por pesquisadores (watchTowr, mnemonic) é consistente com um path traversal clássico (CWE-22) que resulta em leitura arbitrária de arquivo. O CVSS oficial (AV:N/AC:L/PR:N/UI:N/C:H/I:N/A:N) reflete só o impacto de confidencialidade formalmente reconhecido pelo fornecedor, mas o dano real observado em campo — extração de hashes de senha, chaves privadas e certificados — é bem maior do que uma leitura de informação isolada sugere.

O atacante não precisa de nenhuma credencial nem interação do usuário: basta acesso de rede ao endpoint HTTPS exposto pelo gateway. Não há dependência de versão de software específica — o problema está presente em qualquer gateway com o Mobile Access Blade ativo (ou que já tenha estado ativo em algum momento), independente do release instalado, o que torna a superfície de ataque essencialmente todo o parque de gateways com essa blade habilitada e exposta à internet.

O vetor é puramente de rede: uma requisição HTTP POST para o path /clients/MyCRL no gateway exposto, contendo a sequência CSHELL/../../../.. apontando para o arquivo alvo. Não exige autenticação, não exige interação do usuário e a complexidade de ataque é baixa — é essencialmente uma chamada HTTP única, sem necessidade de conhecimento prévio do ambiente além do IP do gateway com Remote Access VPN ou Mobile Access habilitado.

Há exploração ativa confirmada e generalizada. A mnemonic relatou tentativas em ambientes de clientes desde 30 de abril de 2024, quase um mês antes do advisory oficial da Check Point (28 de maio de 2024), e observou extração completa do ntds.dit em 2 a 3 horas após o login inicial com um usuário local comprometido via hashes extraídos. O CVE está no catálogo KEV da CISA, existe módulo Metasploit, template Nuclei e PoC pública — a barreira técnica para exploração é mínima e amplamente automatizável.

O resultado final documentado por pesquisadores vai além do 'information disclosure' do título: shell completo em muitos casos, via extração de senhas de contas locais legadas (autenticação apenas por senha), chaves SSH e certificados que permitem acesso administrativo subsequente. A cadeia típica observada é: leitura arbitrária de arquivo → extração de hash/senha → login com credencial válida no gateway ou pivot para Active Directory → movimento lateral na rede interna.

A correção definitiva é aplicar o hotfix de segurança da Check Point conforme sk182336 — o fornecedor não vinculou a falha a uma faixa numerada de versões de software, e a correção é distribuída como hotfix aplicável a qualquer release em uso nos gateways afetados (CloudGuard Network, Quantum Scalable Chassis, Quantum Security Gateways, Quantum Spark). Não há uma versão 'N e superior' documentada nas fontes disponíveis; siga estritamente o procedimento do sk182336.

Se o hotfix não puder ser aplicado imediatamente, as mitigações reais recomendadas são: desabilitar Remote Access VPN e Mobile Access Blade (incluindo Capsule Workspace, que depende da mesma blade) até a correção; remover contas de usuário local do gateway; rotacionar credenciais/contas usadas na conexão LDAP do gateway com o Active Directory; renovar certificados de HTTPS inspection (inbound e outbound) e regenerar o certificado SSH local do gateway; resetar senhas Gaia OS de todos os usuários locais. Isso porque, mesmo após o patch, credenciais e certificados já expostos antes da correção permanecem comprometidos — aplicar o hotfix sem rotacionar segredos não elimina o risco de uso das credenciais já extraídas.

O que não funciona como mitigação isolada: apenas atualizar sem remover usuários locais ou rotacionar senhas/certificados, já que a falha permite extração retroativa de segredos que continuam válidos até serem trocados manualmente. Regras IPS da Check Point ajudam a detectar tentativas de exploração, mas exigem que o gateway remoto vulnerável esteja atrás de um Security Gateway com a blade IDS/IPS habilitada — não é proteção nativa do próprio gateway exposto.

Em sensores de rede ou IDS posicionados na frente do gateway Remote Access, procurar requisições HTTP POST para o path /clients/MyCRL cujo corpo contenha a string CSHELL seguida de sequências de path traversal (CSHELL/../../..); qualquer ocorrência de 'CSHELL/..' deve ser tratada como tentativa de exploração. Em SmartConsole, a Check Point recomenda cruzar logs com a query action:"Log In" AND auth_method:Password AND blade:"Mobile Access" para identificar logins com autenticação por senha na blade Mobile Access que não correspondam a atividade legítima conhecida — sinal de uso de credencial extraída via a falha. Regras IPS específicas da Check Point também detectam a exploração, mas só funcionam se o gateway vulnerável estiver atrás de outro Security Gateway com IDS/IPS habilitado; sem esse posicionamento, ou sem visibilidade de payload HTTP POST, não há sinal confiável de detecção disponível.