Eingabevalidierung im Check Point Quantum Gaia Portal ermöglicht authentifizierten Benutzern Rechteausweitung (CVE-2026-107484)

Was passiert ist

Check Point beschreibt dies als Schwachstelle bei der Validierung von Eingaben und Berechtigungen in den Backend-Handlern des Gaia Portals. Ein Angreifer, der bereits über ein authentifiziertes Konto mit geringen Rechten für das Portal verfügt, kann Aktionen ausführen, die eigentlich Administratorinnen und Administratoren vorbehalten sein sollten. Der CVSS-3.1-Vektor bewertet die Schwachstelle mit 7,3 als hoch; die Auswirkungen auf Vertraulichkeit und Integrität sind hoch, die Verfügbarkeit ist nicht betroffen. Der Angriffsvektor ist das angrenzende Netzwerk: Der Angreifer benötigt Zugang zum Managementnetzwerk; es ist nicht erforderlich, dass eine Benutzerin oder ein Benutzer einen Link oder Anhang öffnet.

Weder der CVE-Eintrag noch der Sicherheitshinweis von Check Point deuten auf eine aktive Ausnutzung hin, und CISA KEV führt die Schwachstelle nicht auf. Check Point hat derzeit keine korrigierten Versionen und keine Problemumgehung veröffentlicht.

Wer betroffen ist

Laut Check Point ist Quantum Security Gateway in den folgenden Versionen betroffen: R82.10 mit Jumbo Hotfix Take 50 oder niedriger, R82 mit Jumbo Hotfix Take 130 oder niedriger sowie R81.20 mit Jumbo Hotfix Take 173 oder niedriger. Quantum Security Management ist mit denselben betroffenen Releases aufgeführt: R82.10 mit Jumbo Hotfix Take 50 oder niedriger, R82 mit Jumbo Hotfix Take 130 oder niedriger sowie R81.20 mit Jumbo Hotfix Take 173 oder niedriger.

Dabei handelt es sich um die Gateway- und die zentrale Managementkomponente einer Check-Point-Bereitstellung. Das Gaia Portal wird üblicherweise für die Geräte- und Richtlinienverwaltung genutzt; betroffene Systeme sollten daher nur aus vertrauenswürdigen Managementnetzwerken erreichbar sein.

Was jetzt zu tun ist

1. Behandeln Sie die betroffenen Gateways und Managementserver als ungepatcht. Der Check-Point-Sicherheitshinweis sk1000291 führt derzeit keine korrigierten Jumbo Hotfix Takes und keine Problemumgehung auf; gehen Sie daher nicht davon aus, dass ein nicht freigegebener Take sicher ist.
2. Da der Angriffsvektor das angrenzende Netzwerk ist, beschränken Sie den Zugriff auf das Gaia Portal auf dedizierte Managementnetzwerke oder Jump-Hosts. Entfernen Sie den Zugriff aus normalen Benutzer-LANs und aus Rollen für den Fernzugriff, die ihn nicht benötigen.
3. Überprüfen Sie die Konten im Gaia Portal und entfernen Sie nicht-administrative Zugriffsrechte, wo diese nicht erforderlich sind.
4. Überwachen Sie den Check-Point-Sicherheitshinweis sk1000291 auf korrigierte Releases und spielen Sie diese ein, sobald Check Point sie veröffentlicht.

Wie man es erkennt

Check Point hat keine Indikatoren für eine Kompromittierung veröffentlicht. Die Schwachstelle ermöglicht es einem authentifizierten Benutzer ohne Administratorrechte, über die Backend-Handler des Gaia Portals Aktionen auszuführen, die nur Administratorinnen und Administratoren vorbehalten sind. Prüfen Sie daher die Audit-Protokolle des Gaia Portals auf privilegierte Aktionen von Konten, die diese Rechte nicht haben sollten.

Über den Patch hinaus

Da kein korrigierter Jumbo Hotfix und keine Problemumgehung aufgeführt sind, ist dies vor allem ein Problem des Expositionsfensters und nicht einfach ein Element für den nächsten Patch-Tag. Nutzen Sie Lieferkettenschutz & Drittanbieterrisiko, um den Patch-Zyklus von Check Point in Ihrer gesamten Umgebung zu verfolgen, und Managed Detection and Response (MDR), um Rechteausweitung oder Missbrauch von Zugangsdaten zu erkennen, solange das Gaia Portal exponiert bleibt.