حول

دراسة حالة للاستجابة للحوادث (IR) توثّق التحقيق في محاولة استغلال استهدفت CVE-2024-24919 (قراءة ملفات تعسفية) على بوابة أمان Check Point. تتضمن تحليلاً شاملاً لـ SIEM، وسجلات جدار الحماية، وفحص سجل الوصول الخام لخادم الويب (`/var/log/access.log`)، ومؤشرات الاختراق (IOCs)، وربط MITRE ATT&CK، والتحقق من مرحلة ما بعد الاستغلال.

تحليل الحادث: محاولة استغلال ثغرة CVE-2024-24919 في بوابة الأمان Check Point

📌 الملخص التنفيذي

في 6 يونيو 2024، الساعة 03:12 مساءً، أطلقت أنظمة المراقبة الأمنية تنبيهًا بشأن محاولة استغلال عالية الخطورة استهدفت بوابة أمان Check Point (CP-Spark-Gateway-01، IP: 172.16.20.146). حاول المهاجم الخارجي، الذي يعمل من IP 203.160.68.12، استغلال CVE-2024-24919 (ثغرة قراءة ملفات تعسفية) باستخدام طلب HTTP POST مُصمم موجّه إلى نقطة النهاية /clients/MyCRL مع حمولة Directory Traversal (aCSHELL/../../../../../../../../etc/passwd).

بعد تحقيق شامل في الاستجابة للحوادث عبر SIEM وسجلات جدار الحماية وسجلات نظام التشغيل وسجلات الوصول إلى الويب، تم التأكد من أنه بينما نجحت قراءة الملف الأولية لـ (مع إرجاع حالة HTTP مع 1256 بايت من بيانات تعريف مستخدمي النظام المحليين)، تم حظر محاولات الحركة الجانبية أو التصعيد اللاحقة (مثل استهداف ) برمز (). علاوة على ذلك، أكدت عمليات تدقيق النظام ومراجعة سجلات الأطراف عدم وجود أي نشاط ما بعد الاستغلال، مثل تنفيذ التعليمات البرمجية عن بُعد أو القذائف العكسية أو إنشاء حسابات مستخدمين غير مصرح بها.