Detecting-and-Analyzing-CVE-2024-24919-Exploitation

Procedura dettagliata passo-passo per rilevare e analizzare lo sfruttamento di CVE-2024-24919 utilizzando una piattaforma SIEM, inclusa l'analisi del traffico, la documentazione degli IOC, le procedure di contenimento ed escalation.

⭐ Panoramica dell'Alert

• Regola attivata: SOC287 - Lettura arbitraria di file su Check Point Gateway (CVE-2024-24919)
• ID evento: 263
• Timestamp: 6 giugno 2024, 03:12 PM
• IP di destinazione: 172.16.20.146
• IP sorgente: 203.160.68.12
• Azione del dispositivo: Consentita
• Richiesta: aCSHELL/../../../../../../../../../../etc/passwd
• User-Agent: camuffato come Mozilla Firefox su Mac OS X

🧪 Pre-analisi: comprendere CVE-2024-24919

CVE-2024-24919 è una vulnerabilità zero-day di path traversal che colpisce i Check Point Security Gateway. Consente a attaccanti remoti non autenticati di leggere file arbitrari, come /etc/passwd e /etc/shadow, inviando richieste HTTP appositamente costruite a endpoint vulnerabili.

🔗 Advisory di Check Point

Questo tipo di richiesta (visibile nei nostri log) è coerente con questa vulnerabilità e attiva alert a causa del tentativo di sfruttare la lettura di file di sistema.

🔎 Passo 1: analizzare il traffico HTTP

Ho navigato fino alla pagina di Log Management, ho filtrato per IP di destinazione 172.16.20.146 e ho ispezionato il traffico HTTP in arrivo.

🔥 Risultati chiave:

• Il payload tenta chiaramente un path traversal per leggere file di sistema critici.
• Questi file vengono utilizzati per memorizzare credenziali utente e hash delle password.
• Lo stato HTTP 200 con dimensione della risposta: 1256 byte indica che il server ha restituito i dati correttamente — suggerendo che lo sfruttamento è riuscito.

🚨 Passo 2: che tipo di attacco è questo?

Questo è un attacco di Path Traversal, noto anche come Directory Traversal. Consente agli attaccanti di spostarsi al di fuori della directory web prevista e di accedere a file di sistema protetti.

Perché siamo giunti a questa conclusione:

• Le richieste contengono pattern ripetuti ../ (dot-dot-slash).
• File presi di mira come /etc/passwd e /etc/shadow sono indicatori standard.

🧪 Passo 3: era un test pianificato?

Ho controllato la pagina Email Security e ho cercato utilizzando queste parole chiave:

• 172.16.20.146
• CP-Spark-Gateway-01
• CVE-2024-24919
• penetration test

🔍 Nessuna email o documentazione suggeriva che si trattasse di un test. Questo probabilmente esclude una simulazione o un'operazione red-team.

🌐 Passo 4: analisi della direzione del traffico

IP sorgente: 203.160.68.12 → indirizzo IP pubblico IP di destinazione: 172.16.20.146 → indirizzo IP privato (intervallo RFC 1918)

🔁 Direzione: Internet → Rete aziendale

Questo conferma che il traffico proviene da un attaccante esterno che prende di mira l'infrastruttura interna.

🧠 Passo 5: l'attacco ha avuto successo?

Il log HTTP mostra:

• HTTP 200 OK indica il successo.
• La dimensione della risposta (1256 byte) suggerisce che il sistema ha restituito dati.
• L'attaccante ha probabilmente avuto accesso a /etc/passwd, confermando uno sfruttamento riuscito.

🛡️ Passi di contenimento

Ho acceduto alla pagina Endpoint, ho filtrato per IP di destinazione 172.16.20.146 e ho avviato un'azione di contenimento per isolare l'host.

Perché?

• L'host è stato compromesso.
• Potrebbe essere utilizzato per muoversi lateralmente o esfiltrare dati.

🧾 Passo 6: documentazione degli IOC

Perché è importante:

Gli Indicator of Compromise (IOC) sono fondamentali per:

• Informare le comunità esterne di threat intelligence
• Scrivere future regole di rilevamento
• Rafforzare la postura di sicurezza

📌 IOC identificati:

• IP sorgente: 203.160.68.12, 203.160.68.13

• User-Agent: Mozilla/5.0 (Mac OS X; rv:126.0)

• Percorsi delle richieste:

  • /clients/MyCRL
  • Payload: ../../../../etc/passwd, ../../../../etc/shadow

• Porta di destinazione: 4433 (HTTPS non standard)

⬆️ Passo 7: escalation al Tier 2?

✅ Sì — Si tratta di una vulnerabilità zero-day sfruttata con successo in un ambiente reale, che ha esposto file sensibili.

L'escalation è essenziale per:

• Analisi forense approfondita
• Validazione delle patch
• Coordinamento di stakeholder legali, di compliance e dirigenziali

📄 Passo 8: analisi finale e commento

Ho chiuso l'alert come True Positive.

📝 Breve commento:

"Alert confermato come sfruttamento di CVE-2024-24919. L'IP esterno 203.160.68.12 ha avuto accesso con successo a file di sistema sensibili tramite path traversal. L'host CP-Spark-Gateway-01 è stato contenuto. Documentazione IOC completata. Escalation al Tier 2 per analisi forense avanzata e verifica delle patch."

🔐 Raccomandazioni per la prevenzione

• 🧱 Applicare immediatamente la patch del vendor per CVE-2024-24919 (hotfix Check Point).
• 🔒 Bloccare l'accesso esterno all'endpoint /clients/MyCRL.
• 🧬 Implementare regole WAF per i pattern di traversal (../, ..%2F).
• 🔍 Monitorare l'attività anomala sulle porte (es., 4433).
• 🔄 Aggiornare e verificare regolarmente le regole del firewall e del SIEM.
• 📚 Condurre formazione interna sulle recenti minacce zero-day.

✅ Conclusione

Questa indagine evidenzia la fondamentale importanza del monitoraggio proattivo delle minacce e della risposta. Rilevare e contrastare rapidamente gli exploit zero-day può fare la differenza tra un incidente contenuto e una violazione diffusa.