Check Point SmartConsoleに存在する重大なゼロデイ脆弱性(CVE-2026-16232)が実際に悪用されており、認証を経ていない攻撃者が影響を受ける環境の管理者権限を完全に奪取できる状態になっています。
Vulnerabilityassessment service
この脆弱性はCheck Point Security Management ServerとMulti-Domain Security Management Server(MDS)の両方に影響し、特にSmartConsoleのログイン処理を標的としています。
Check Point SmartConsoleのゼロデイ脆弱性
Rapid7による技術分析によると、この脆弱性はアプリケーションの認証処理における信頼境界の破綻に起因しており、攻撃者は認証を完全にバイパスし、セキュリティポリシー・設定・管理対象アセットの制御を奪えるようになっています。
この脆弱性は、SmartConsoleが従来型サービスと最新サービスの両方でSecure Internal Communication(SIC)ベースの認証を処理する仕組みに存在します。
SmartConsoleは2つの主要サービスに依存しています。TCPポート18190を使う従来型のFWM/CPMIサービスと、HTTPS経由でポート19009を使う新しいCPM/DLE SOAPベースのサービスです。
認証の過程で、このアプリケーションは攻撃者が送り込んだSIC識別名(DN)を、認証済み証明書のIDと照合して検証することなく不適切に信頼してしまいます。
この設計上の欠陥により、リモートの攻撃者は有効なクライアント証明書を提示することなく、信頼された内部コンポーネントになりすますことが可能になります。
問題の核心は、認証フロー内でユーザー制御可能な入力を正しく処理していない点にあります。脆弱なコードは、送信されたSIC DNをそのまま有効なものとして受け入れてしまい、本来必要な証明書検証を回避してしまいます。例えば、この欠陥のあるロジックは以下のコードスニペットに表れています。
String effectiveSicDn = suppliedSicDn == null
? this.j.getCertificateDnName()
: suppliedSicDn; // attacker-controlled input trustedこのアプリケーションは実際の証明書DNよりも送信されたDNを優先するため、攻撃者は認証前の初期通信時に管理サーバーのSIC DNを捕捉し、それを使って信頼された身元を偽装できてしまいます。
これにより攻撃者はアプリケーショントークンを取得でき、そのトークンを使ってgen-sso-tokenコマンド経由でSmartConsoleのシングルサインオン(SSO)トークンを要求し、最終的に完全な管理者権限を得ることになります。
この悪用には両方の管理サービスを連鎖させる手法が用いられます。攻撃者はまずFWM/CPMIプロトコルを使って接続を確立し、証明書バインド要求の中に偽造したDNを送信し、アプリケーショントークンを受け取ります。
Hacking& Cracking
このトークンはその後SSOチケットの生成に使われ、そのチケットはCPM SOAP APIを通じて引き換えられ、有効なSmartConsoleセッションが作成されます。単純化した悪意あるリクエストは以下のようになります。
:DN ("cn=cp_mgmt,o=target-environment") # forged identity
:application_login ("CPM Server")
:client_without_administrator (true)認証が完了すると、攻撃者はシステム情報の取得や管理者アカウントの列挙といった、機密性の高い管理機能にアクセスできるようになります。
Rapid7の概念実証(PoC)では、攻撃者がgetServerInfoやGetAllAdminsといった特権操作を実際に呼び出せることが示されており、管理プレーンの完全な侵害が確認されています。
この脆弱性が特に危険なのは、悪用に必要なのが管理サーバーへのネットワークアクセスのみであり、Trusted Clientの制限が有効化されていないデフォルト設定下でも実行可能な点です。
さらに、この攻撃はほとんど痕跡を残しませんが、侵害の痕跡(IOC)として重要な指標の一つが、監査ログに残る「Authentication method: application token」というエントリです。
Check Pointは、送信されたSIC DNの値と認証済み証明書のIDとの間で厳格な検証を強制することにより、この問題に対処するパッチをリリース済みです。
更新された実装では、リモートクライアントが証明書由来のIDを上書きできないようになっており、資格情報が不一致または欠落している場合には拒否するロジックも導入されています。
影響を受けるバージョン(R81.20およびR82.10)を使用している組織は、最新のjumbo hotfixを直ちに適用することが強く推奨されます。
この脆弱性が実際に悪用されており、その深刻度も高いことを踏まえ、セキュリティチームはパッチ適用を最優先とし、管理インターフェースへのアクセスを制限するとともに、異常な認証イベントがないかログを監視すべきです。
今回の欠陥は、特に重要なセキュリティインフラを管理するシステムにおいて、認証メカニズムの信頼境界を適切に強制することの重要性を改めて浮き彫りにしています。
ALERT: 20+ government sites delivered malware to businesses and citizens. See full attack research to check your own exposure.
翻訳元: https://gbhackers.com/check-point-smartconsole-zero-day/
