SOC287 - Lecture de fichier arbitraire sur Checkpoint Security Gateway CVE-2024-24919

Aperçu

Ce dépôt contient une procédure détaillée de la vulnérabilité CVE-2024-24919 affectant les Check Point Security Gateways. La vulnérabilité permet une lecture de fichier arbitraire, exposant potentiellement des fichiers système sensibles tels que /etc/passwd. Ce document fournit une analyse approfondie du scénario d'attaque, des méthodes de détection et des stratégies d'atténuation.

Procédure de laboratoire

Pour une procédure détaillée de ce laboratoire Let's Defend SOC, veuillez consulter : SOC287 Procédure de laboratoire

Aperçu

• CVE ID : CVE-2024-24919
• Type de vulnérabilité : Lecture de fichier arbitraire
• Système affecté : Check Point Security Gateways
• Méthode d'exploitation : Traversée de répertoire
• Sévérité : Élevée

Scénario d'attaque

Dans cet incident, un attaquant a exploité CVE-2024-24919 pour envoyer une charge utile de traversée de répertoire via une requête HTTP POST afin d'accéder au fichier /etc/passwd sur la cible. Voici les détails clés de l'alerte :

• Heure de l'événement : 6 juin 2024, 15:12
• Système cible : 172.16.20.146 (Passerelle Check Point interne)
• Source IP : 203.160.68.12
• URL demandée : 172.16.20.146/clients/MyCRL
• Charge utile : aCSHELL/../../../../../../../../../../etc/passwd
• User-Agent : Mozilla/5.0 (Macintosh; Intel Mac OS X 10.15; rv:126.0) Gecko/20100101 Firefox/126.0