Check PointのVPNに関するリスクは“想定以上に深刻” 各ベンダーが調査を公表：Cybersecurity Dive

Check Point SoftwareのVPNの脆弱性は想定よりもはるかに深刻だという研究結果が公開された。攻撃者はこれを悪用することで脅威の横展開を実施し、これまで公表されていたよりもはるかに多くのファイルにアクセスできる可能性がある。

[David Jones，Cybersecurity Dive]

　セキュリティ研究者が2024年5月30日（現地時間、以下同）に警告した内容によると、Check Point Softwareが提供するVPNの顧客に対する攻撃時に悪用された脆弱（ぜいじゃく）性は、これまで公表されていたよりもはるかに深刻なもののようだ（注1）。サイバーセキュリティ企業のMnemonicは同年5月31日にブログ記事を更新し（注2）、「この脆弱性の悪用は同年4月下旬から始まっていた」と述べた。

Check PointのVPNに見つかった脆弱性は想定よりも重大

　Check Point Softwareによると、この脆弱性は「CVE-2024-24919」として公開されており（注3）、リモートアクセスVPNまたはモバイルアクセスのいずれかが有効でインターネットに接続されたゲートウェイの上で、攻撃者による特定の情報の読み取りを可能にするという。

　Mnemonicの研究者は、この脆弱性によってハッカーは、全てのローカルアカウントのパスワードハッシュを列挙し抽出できると警告している。これには「Active Directory」に接続するために使用されるアカウントも含まれる。

　攻撃者は、脆弱なパスワードを持つユーザーアカウントを侵害し、ネットワーク内でのさらなる悪用や横方向の移動を実現させる可能性がある。

　Mnemonicによると、この脆弱性を悪用して、攻撃者はローカルアカウントのパスワードハッシュやSSHキー、証明書、その他の重要なファイルを含む、ローカルファイルシステム上の全てのファイルを取得できる。

　サイバーセキュリティ事業を営むWatchTowrの研究者は、彼らがパストラバーサルの脆弱性と特徴付けるものについて深い分析を実施し、攻撃後にシステム全てのにおけるファイルへのアクセスを得ることに成功した。

　WatchTowrの研究者は、2024年5月30日のブログ投稿で「この脆弱性は、ベンダーの勧告が示唆する以上に重大なものだ」と述べた（注4）。

　セキュリティプラットフォームであるCensysのデータによると（注5）、インターネットに公開されたCloudGuard Network Securityのインスタンスは108台であり（注6）、Quantum Security Gatewayは1021台、Quantum Sparkゲートウェイは1万2321台となっている。

　2024年5月30日、米国土安全保障省サイバーセキュリティ・インフラストラクチャセキュリティ庁（CISA）は（注7）、CVE-2024-24919を脆弱性のカタログに追加した。

　Check Point Softwareのギル・メッシング氏（チーフスタッフ兼グローバルコーポレート・コミュニケーション部門の責任者）が「Cybersecurity Dive」に語ったところによると、同社が脅威の兆候を最初に確認したのは2024年4月7日よりも前だった。

　同社は、2024年5月27日の初めにリリースした修正プログラムが脆弱性を緩和する最善の方法であると確信しているが、状況は「非常に深刻」と考え、全ての顧客にアップデートを適用するよう強く呼びかけている。

　また、Check Point Softwareは、脆弱性を緩和するための手順と（注8）、侵害された環境を検出するための手順も公開している。

　サイバーセキュリティ事業を営むRapid7の研究者は、ベンダーが推奨する緩和策に従うだけでなく、ローカルアカウントの認証情報をリセットするようユーザーに呼びかけている。

　Rapid7のクリスチャン・ビーク氏（脅威分析を担当するシニアディレクター）は、電子メールで次のように述べている。

　「ここ数週間で、活発な悪用が確認されており、侵入者による横方向への移動も可能であるため、同脆弱性は重大な脅威である。また、多くの企業が多要素認証を導入していなかったり、適切に実行していなかったりすることも分かっている。ベンダーが提供する修正プログラムの適用が急務となっている」

（注1）Check Point Software links newly identified CVE to VPN attacks（Cybersecurity Dive）
（注2）Advisory: Active exploitation of Check Point Remote Access VPN vulnerability (CVE-2024-24919)（mnemonic）
（注3）CVE-2024-24919 Detail（NIST）
（注4）Check Point - Wrong Check Point (CVE-2024-24919)（Labs）
（注5）May 31, 2024: Arbitrary File Read in Check Point VPN Gateways [CVE-2024-24919]（Censys）
（注6）Hosts（Censys）
（注7）CISA Adds Two Known Exploited Vulnerabilities to Catalog（CISA）
（注8）Preventative Hotfix for CVE-2024-24919 - Quantum Gateway Information Disclosure（CHECK POINT Support Center）

原文へのリンク