Skip to content
KitploitKITPLOIT
ToolsBlog
Einreichen
ToolsBlog
Einreichen

Hacking-, PenTest- und Cybersicherheits-Tools für Ihr Sicherheitsarsenal!

Kitploit ist ein Verzeichnis von Hacking-, Cybersicherheits- und Pentesting-Tools. Entdecken Sie die neuesten Projekt-Updates, um Schwachstellen zu finden, Systeme zu analysieren, Tests zu automatisieren und Ihre Sicherheit zu stärken.

··Feeds·Kontakt·Datenschutz·© 2026 Kitploit

Tool-Verzeichnis

Kategorien

Alle Kategorien anzeigen
Loading categories
Incident-Analysis-Response-Check-Point-Security-Gateway-CVE-2024-24919-LFI-Exploitation — # Fallstudie zur Incident Response (IR): Untersuchung eines Exploit-Versuchs gegen CVE-2024-24919 (Beliebiges Dateilesen) auf einer Check Point Security Gateway. Enthält umfassende SIEM-Analyse, Firewall-Protokolle, Inspektion der rohen Webzugriffsprotokolle (`/var/log/access.log`), IOCs, MITRE-ATT&CK-Zuordnung und Validierung nach der Ausnutzung. | Kitploit
Tools/GitHubGitHub/zedocun/incident-analysis-response-check-point-security-gateway-cve-2024-24919-lfi-exploitation
SchwachstellenanalyseNetzwerkforensikWebsicherheitNetzwerksicherheitDigitale ForensikBedrohungsanalyseEinbruchserkennungLernen & BildungIncident Response
Log-Analyse
GitHubzedocun/incident-analysis-response-check-point-security-gateway-cve-2024-24919-lfi-exploitation

Incident-Analysis-Response-Check-Point-Security-Gateway-CVE-2024-24919-LFI-Exploitation

Repository anzeigen
18vor 1 MonatNoch nicht geprüft

Beliebteste

Alle anzeigen →

Entdecken Sie die meistgenutzten Tools unserer Community.

Alle Tools erkunden

Durchsuchen Sie unsere Tool-Sammlung

Alle Tools anzeigen →

Über

# Fallstudie zur Incident Response (IR): Untersuchung eines Exploit-Versuchs gegen CVE-2024-24919 (Beliebiges Dateilesen) auf einer Check Point Security Gateway. Enthält umfassende SIEM-Analyse, Firewall-Protokolle, Inspektion der rohen Webzugriffsprotokolle (`/var/log/access.log`), IOCs, MITRE-ATT&CK-Zuordnung und Validierung nach der Ausnutzung.

Teilen

Read on Medium

Vorfallanalyse: Exploit-Versuch gegen Check Point Security Gateway CVE-2024-24919

📌 Zusammenfassung

Am 6. Juni 2024 um 15:12 Uhr lösten die Sicherheitsüberwachungssysteme einen Alarm für einen Exploit-Versuch mit hoher Schwere aus, der auf ein Check Point Security Gateway (CP-Spark-Gateway-01, IP: 172.16.20.146) abzielte. Der externe Angreifer, der von der IP 203.160.68.12 aus operierte, versuchte, CVE-2024-24919 (eine Schwachstelle für beliebiges Dateilesen) mithilfe einer manipulierten HTTP-POST-Anfrage auszunutzen, die auf den Endpunkt /clients/MyCRL mit einer Directory-Traversal-Nutzlast (aCSHELL/../../../../../../../../etc/passwd) gerichtet war.

Nach einer gründlichen Incident-Response-Untersuchung über die SIEM-, Firewall-, Betriebssystem- und Webzugriffsprotokolle wurde festgestellt, dass zwar das anfängliche Lesen der Datei /etc/passwd erfolgreich war (HTTP-Status 200 mit 1256 Bytes lokaler Systembenutzer-Metadaten), nachfolgende laterale oder Eskalationsversuche (wie das Auslesen von /etc/shadow) jedoch blockiert wurden (403 Forbidden). Darüber hinaus bestätigten Systemaudits und Terminalprotokollprüfungen das Fehlen von Post-Exploitation-Aktivitäten wie Remote-Code-Ausführung, Reverse Shells oder der Erstellung unbefugter Benutzerkonten.

🔍 Untersuchungsergebnisse & Beweise

1. SIEM-Alarm & Asset-Schwachstellenzuordnung

  • Ziel-Asset: Check Point Security Gateway (172.16.20.146)
  • Erkennungsauslöser: SIEM-Regel SOC287 (Event-ID 263) für CVE-2024-24919.
  • Nutzlaststruktur: Bösartige HTTP-POST-Anfrage mit aCSHELL/../../../../../../../../etc/passwd.

SIEM-Alarmdetails

(Oben: Asset-Schwachstellenzuordnung und Identifizierung im Zusammenhang mit CVE-2024-24919)

2. Firewall-Datenverkehr & Ereignishistorie

  • Überprüfung des Firewall-Datenverkehrs und der Betriebshistorie rund um den Vorfallszeitraum (15:12 Uhr - 15:30 Uhr).

Firewall-Protokolle

3. Analyse der Webzugriffsprotokolle (/var/log/access.log)

  • Erfolgreicher Kompromittierungsvektor: Die Anfrage zum Lesen von /etc/passwd gab den HTTP-Status 200 OK zurück, was die Offenlegung von Systemkontodaten bestätigt.
  • Fehlgeschlagene Eskalation: Ein nachfolgender Versuch eines verwandten externen Scanners (203.160.68.13) zielte auf /etc/shadow ab und wurde erfolgreich mit einer HTTP-403 Forbidden-Antwort abgewiesen.
  • Überprüfung des Hintergrundrauschens: Gleichzeitige Einträge von internen IP-Adressen (192.168.x.x, 10.x.x.x, 172.16.x.x), die Standard-HTTP-Anfragen durchführten, wurden als routinemäßige Unternehmensnetzwerkaktivität verifiziert, die vollständig unabhängig von dem externen Eindringen ist.

Zugriffsprotokolle

(Oben: Rohe Webzugriffsprotokolle, die die erfolgreiche LFI-Ausführung sowie blockierte Zugriffsversuche zeigen)

4. Asset-Tagging & Threat Intelligence

  • Überprüfung der Asset-Konfiguration und der Quell-IP-Adresse des Angreifers (203.160.68.12) gegen Threat-Intelligence-Plattformen.

Asset-Tagging Threat Intelligence

(Oben: VirusTotal-Reputationsprüfung, die eine bösartige/verdächtige Zuordnung bestätigt)

🛡️ Abhilfemaßnahmen & Empfehlungen

  • Sofortiges Patchen: Wenden Sie den offiziellen Check-Point-Hotfix oder das Firmware-Upgrade an, um CVE-2024-24919 dauerhaft zu beheben.
  • Perimeter-Blockierung: Erzwingen Sie Firewall-Regeln, um Datenverkehr von der bösartigen externen Quell-IP 203.160.68.12 (AS 10099 - China Unicom Global) zu blockieren.
  • Passwort-Hygiene: Führen Sie proaktive Passwortzurücksetzungen für die Standarddienst- und Benutzerkonten durch, die in der offengelegten Konfigurationsdatei identifiziert wurden.
Tool herunterladen