Check Point Gaia DynamicCLI: jogosultságszint-emelés helyi socketen keresztül root szintig (CVE-2026-123039)

Mi történt

A Gaia operációs rendszeren a DynamicCLI démon root jogosultsággal fut, és a /tmp/dynamic_socket elérési úton egy mindenki által írható helyi vezérlő socketet figyel. A socket nem hitelesíti a hozzá csatlakozó folyamatot, így egy hitelesített helyi felhasználó parancsot küldhet a démonnak, amelyet a démon root jogosultsággal hajt végre. A közzétett CVSS 3.1 pontszám 7,8 (magas); a támadási vektor helyi, a szükséges jogosultsági szint alacsony, felhasználói beavatkozás nem szükséges, a bizalmasságra, a sértetlenségre és a rendelkezésre állásra gyakorolt hatás pedig nagy. A CISA KEV-bejegyzése és az ENISA EUVD-bejegyzése kihasználást tartanak nyilván; az ENISA EUVD értékelése szerint a kihasználás 2026. november 13. óta zajlik. A CISA által előírt intézkedés határideje 2026. november 16. A Check Point az SK1000362 azonosítójú közleményben sem javított verziót, sem kerülő megoldást nem tett közzé.

Kit érint

Érintettek a Gaia operációs rendszert futtató Check Point Quantum Security Gateway és Quantum Security Management telepítések, ha a következő Jumbo Hotfix Take-verziókat használják: R82.10 Take 50 vagy annál alacsonyabb, R82.20 Take 10 vagy annál alacsonyabb, R82 Take 130 vagy annál alacsonyabb, illetve R81.20 Take 173 vagy annál alacsonyabb. Az érintett termékeket jellemzően olyan biztonsági átjárókként és felügyeleti eszközökként telepítik, amelyek a hálózatbiztonsági szabályzatot érvényesítik és kezelik. A támadáshoz a Gaia-gazdagépen hitelesített helyi felhasználóra van szükség, így az internet felőli elérhetőség önmagában nem jelenti a belépési pontot.

Mit kell most tenni

1. Azonosítsa az érintett verziókat futtató Quantum Security Gateway vagy Quantum Security Management telepítéseket.
2. A Check Point egyelőre nem adott ki javított verziót, és a Check Point SK1000362 azonosítójú biztonsági közleményében sem tettek közzé kerülő megoldást, ezért kísérje figyelemmel ezt a közleményt, amíg az első javítás meg nem jelenik.
3. Csökkentse a helyi támadási felületet: távolítsa el vagy tiltsa le a felesleges helyi fiókokat, tegye kötelezővé a többtényezős hitelesítést az adminisztratív hozzáféréshez, és korlátozza az SSH-, konzol- és helyi bejelentkezést a nevesített munkatársakra.
4. Figyelje a Gaia-gazdagépet a /tmp/dynamic_socket elérési úthoz csatlakozó váratlan folyamatok, valamint a DynamicCLI démon által indított root jogosultságú parancsok tekintetében.
5. Ha helyi visszaélés gyanúja merül fel, válassza le az eszközt a hálózatról, és kezdje meg az incidenskezelést.

Hogyan észlelhető

Az érintett socket a /tmp/dynamic_socket. A Gaia-gazdagépeken vizsgálja meg a naplókat és a folyamatok tevékenységét, és keressen váratlan kapcsolódásokat a sockethez, illetve olyan eseteket, amikor a DynamicCLI démon nem adminisztratív fiókokból indít root jogosultságú folyamatokat.

A javításon túl

Ha egy helyi jogosultságszint-emelést kihasználnak, és a gyártó még nem adott ki javítást, a közvetlen teher az észlelésre és a reagálásra helyeződik át. A Menedzselt kiberbiztonsági felügyelet (MDR) figyelemmel tudja kísérni a root szintű kompromittálódást követő támadói tevékenységet, egy Incidenskezelési készenléti szerződés pedig biztosítja, hogy legyen kész csapat, ha egy eszköz esetében felmerül az érintettség gyanúja. Az Ellátási lánc védelem és harmadik féltől származó kockázatok szintén releváns a Check Point javítási ciklusának nyomon követéséhez, a többi olyan beszállító mellett, amelyek javítási ütemezése meghatározza az Ön kitettségi időablakát.