Check Point Gaia DynamicCLI: Lokale Rechteausweitung auf Root über lokalen Socket (CVE-2026-123039)

Was passiert ist

Auf Gaia OS läuft der DynamicCLI-Daemon als Root und nimmt Verbindungen über einen lokalen Steuer-Socket unter /tmp/dynamic_socket entgegen, der für alle lokalen Benutzer beschreibbar ist. Der Socket authentifiziert den Prozess, der sich mit ihm verbindet, nicht; daher kann ein authentifizierter lokaler Benutzer einen Befehl an den Daemon senden, der mit Root-Rechten ausgeführt wird. Der veröffentlichte CVSS-3.1-Wert beträgt 7,8 (Hoch). Der Angriffsvektor ist lokal, die erforderlichen Rechte sind niedrig, es ist keine Benutzerinteraktion erforderlich und die Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit sind hoch.

Der KEV-Eintrag von CISA und der EUVD-Eintrag von ENISA verzeichnen die Ausnutzung; ENISA EUVD geht davon aus, dass die Ausnutzung seit dem 13. November 2026 stattfindet. Die CISA-Frist für erforderliche Maßnahmen ist der 16. November 2026. Check Point hat in SK1000362 weder eine korrigierte Version noch eine Problemumgehung veröffentlicht.

Wer betroffen ist

Betroffen sind Check Point Quantum Security Gateway und Quantum Security Management mit Gaia OS und den folgenden Jumbo-Hotfix-Takes: R82.10 mit Take 50 oder niedriger, R82.20 mit Take 10 oder niedriger, R82 mit Take 130 oder niedriger und R81.20 mit Take 173 oder niedriger. Die betroffenen Produkte werden typischerweise als Sicherheits-Gateways und Management-Appliances eingesetzt, die Netzwerksicherheitsrichtlinien durchsetzen und verwalten. Der Angriff setzt einen authentifizierten lokalen Benutzer auf dem Gaia-Host voraus; die Erreichbarkeit aus dem Internet allein ist daher kein Angriffsweg.

Was jetzt zu tun ist

1. Identifizieren Sie alle Installationen von Check Point Quantum Security Gateway oder Quantum Security Management mit den betroffenen Versionen.
2. Check Point hat keine korrigierte Version veröffentlicht, und im Sicherheitshinweis SK1000362 von Check Point ist keine Problemumgehung dokumentiert; behalten Sie diesen Hinweis im Blick, bis die erste verfügbare Korrektur erscheint.
3. Reduzieren Sie die lokale Angriffsfläche: Entfernen oder deaktivieren Sie nicht benötigte lokale Konten, erzwingen Sie Multi-Faktor-Authentifizierung für den administrativen Zugriff und beschränken Sie SSH-, Konsolen- und lokale Anmeldungen auf namentlich benannte Personen.
4. Überwachen Sie den Gaia-Host auf unerwartete Prozesse, die sich mit /tmp/dynamic_socket verbinden, und auf Befehle mit Root-Rechten, die vom DynamicCLI-Daemon gestartet werden.
5. Wenn Sie eine lokale missbräuchliche Nutzung vermuten, trennen Sie die Appliance vom Netz und leiten Sie die Incident Response ein.

Wie man es erkennt

Der offen zugängliche Socket ist /tmp/dynamic_socket. Prüfen Sie auf Gaia-Hosts Protokolle und Prozessaktivitäten auf unerwartete Verbindungen zu diesem Socket sowie auf Fälle, in denen der DynamicCLI-Daemon Root-Prozesse aus nicht-administrativen Konten startet.

Über den Patch hinaus

Eine ausgenutzte lokale Rechteausweitung ohne Herstellerfix verlagert den unmittelbaren Handlungsdruck auf Erkennung und Reaktion. Mit Managed Detection & Response (MDR) lassen sich die nach einer Kompromittierung mit Root-Rechten auftretenden Aktivitäten überwachen, und mit einem Incident Response Retainer steht ein Team bereit, wenn der Verdacht besteht, dass ein Gerät betroffen ist. Auch das Thema Lieferkettenschutz und Drittparteirisiko ist relevant, um den Korrekturzyklus von Check Point zusammen mit den anderen Lieferanten zu verfolgen, deren Patch-Zeitpläne Ihr Expositionsfenster bestimmen.