Trusted Design

CVE-2024-24919 の詳細

CVEの情報

説明:
Potentially allowing an attacker to read certain information on Check Point Security Gateways once connected to the internet and enabled with remote Access VPN or Mobile Access Software Blades. A Security fix that mitigates this vulnerability is available.

CVE更新日: 2024-05-28 19:15:10.060000

CVSSバージョン: 3.1

CVSSスコア: 8.6

KEVの情報

KEV更新日: 2024-05-30

EPSSの情報

EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。

EPSSスコア: 0.999780000

EPSS更新日: 2026-10-16 00:00:00

SSVCの情報

SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。

Exploitation: active

Technical Impact: high

Automatable: True

AIを使った解説

解説:

CVE-2024-24919は、Check Point Software Technologies社の複数の製品に影響を与える情報漏えいの脆弱性です。この脆弱性は、認証されていないリモートの攻撃者が、インターネットに接続され、特定のVPN機能が有効になっているCheck Point Security Gatewaysから機密情報を読み取ることが可能となるものです。

1. 脆弱性の概要

1.1 影響 本脆弱性は情報漏えいにつながり、攻撃者はパスワードハッシュ、SSHキー、証明書、その他の認証情報といった機密ファイルを読み取ることができます。さらに、証明書認証が有効になっていない特定のシナリオでは、認証されていないリモートコード実行 (RCE) につながる可能性もあります。攻撃は、ユーザーの操作や特権を必要とせずにリモートで実行され、システム全体の完全な侵害につながるおそれがあります。

1.2 深刻度 CVSS v3.1のスコアは8.6（重要度「高」または「クリティカル」）と評価されています。本脆弱性は、米国サイバーセキュリティ・社会基盤安全保障庁 (CISA) の既知の悪用されている脆弱性 (KEV) カタログに追加されており、実環境での活発な悪用が確認されています。

2. 対象となる環境

2.1 影響を受けるOSバージョン 以下のCheck Point社製品が影響を受けます。これら製品のR80およびR81バージョンに影響があります。

  • Check Point CloudGuard Network
  • Check Point Quantum Maestro
  • Check Point Quantum Scalable Chassis
  • Check Point Quantum Security Gateways
  • Check Point Quantum Spark Appliances

また、Check Pointのコンポーネントを使用しているヤマハUTMアプライアンス「UTX200/UTX100」も影響を受けます。影響を受けるファームウェアはR81.10.08 (996001683) 以前です。

2.2 影響を受ける設定 以下のいずれかの設定が有効な場合に本脆弱性の影響を受けます。

  • Remote Access VPNまたはMobile Access Software Bladesが有効になっている場合。
  • IPsec VPN Bladeが有効で、かつセキュリティゲートウェイがリモートアクセスVPNコミュニティの一部である場合。
  • Quantum Spark Applianceをローカル管理で使用しており、リモートアクセス機能が有効な場合。
  • 特に、パスワード認証のみを使用する古いローカルアカウントを使用している環境が攻撃の標的となりやすいです。
  • 証明書認証が有効になっていない場合、認証されていないリモートコード実行の可能性が高まります。

3. 影響を受けた時の兆候

  • 2024年4月末頃から本脆弱性を悪用する攻撃が観測されており、2024年5月30日には概念実証 (PoC) コードが公開され、攻撃が容易になっています。
  • パスワード認証のみに依存する古いローカルVPNアカウントへの不正なログイン試行がログに記録されている場合があります。
  • ゲートウェイの/clients/MyCRLエンドポイントに対して、非公開フォルダのファイルへのアクセスを試みる、相対パスを使用したパケット（ディレクトリトラバーサル攻撃）が観測される可能性があります。
  • 不審なネットワークトラフィック、特に機密情報への不正アクセスを試みる外部IPアドレスからの接続（例：203.160.68.12からのトラフィック）が見られる場合があります。
  • CISA KEVカタログに登録されているため、悪用されているシステムが存在する可能性が高いです。

4. 推奨対策

4.1 本対策

  • Hotfixまたはファームウェアの適用: ベンダーが提供するHotfixを直ちに適用するか、最新のファームウェアにアップデートしてください。
    • ヤマハUTX200/UTX100の場合、R81.10.08 (996001750) 以降のファームウェアに更新してください。

4.2 暫定回避策（緩和策）

  • アカウント管理の強化:
    • ローカルアカウントを常に追跡し、未使用のアカウントは無効にしてください。
    • パスワードのみで認証されるローカルアカウントには、多要素認証など、別の認証レイヤーを追加することを推奨します。
  • VPN機能の無効化: VPNを使用しない場合は、リモートアクセスVPNブレードまたはモバイルアクセスソフトウェアブレードを無効にしてください。
  • パスワードと証明書のリセット:
    • ローカルユーザー、UTX管理ユーザー、リモートアクセスVPN用ユーザー、およびUTXと連携しているADサーバーのユーザーのパスワードをリセットしてください。
    • SSLインスペクション機能を利用している場合は、SSLインスペクション用の証明書を更新してください。
  • ファイアウォールルールによるブロック: 悪意のある外部送信元IPアドレスからのトラフィックをブロックするファイアウォールルールを設定してください。
  • 特定のプラグインの無効化: CCCD (Check Point Central Deployment) など、特定のプラグインが実行されている場合は、緊急にこの設定を無効にしてください。

その他解説すべき観点

  • ゼロデイ脆弱性としての悪用: 本脆弱性は、ベンダーによる情報公開前に、2024年4月末頃から実際に攻撃で悪用されていたゼロデイ脆弱性であることが確認されています。
  • 攻撃の容易性: 2024年5月30日には本脆弱性の概念実証 (PoC) コードが公開されており、攻撃者が容易に悪用できる状態となっています。

参照したサイト:

NVDサイト

NVDでCVEの詳細を見る

戻る