Check Point zakrpio kritičan propust u upravljačkim serverima
Neautentifikovano izvršavanje koda sa root privilegijama
Check Point je objavio zakrpu za CVE-2026-91843, kritičnu ranjivost sa ocenom 9,8 od 10 po CVSS skali, koja napadaču bez pristupnih podataka može omogućiti izvršavanje koda sa root privilegijama preko mreže. Pogođeni su Security Management Server i Log Server, sistemi koji upravljaju politikama zaštitnih zidova i administratorskim pristupom.
Kompanija je ispravku isporučila kroz kanal LivePatch i navela da nema naznaka iskorišćavanja propusta u stvarnim napadima. CISA je 17. septembra u pratećoj proceni CVE zapisa označila eksploataciju kao „none“, a propust tada nije bio u katalogu Known Exploited Vulnerabilities.
Greška je vezana za Trusted Clients
Ranjivi put dostupan je samo kroz podešavanje Trusted Clients, koje određuje sa kojih hostova je dozvoljeno povezivanje na upravljački server putem SmartConsole-a. Reč je o prekoračenju steka u procesu prijave, pre autentifikacije korisnika. Censys navodi da se može pokrenuti zahtevom za prijavu sa veoma dugim korisničkim imenom.
Check Point preporučuje da se proveri da Trusted Clients nije podešen na bilo koju IP adresu, već isključivo na poznate i pouzdane hostove. Direktan pristup upravljačkim interfejsima sa interneta treba izbegavati, a vodič za ojačavanje konfiguracije predviđa korišćenje VPN-a.
Obuhvaćene verzije i modeli primene
U CVE zapisu su navedeni R82.10 sa Jumbo Hotfix Take 44 ili starijim, R82 sa Take 126 ili starijim, R81.20 sa Take 166 ili starijim i R81.10 sa Take 190 ili starijim. Pogođene su i grane R81, R80.40, R80.30, R80.20, R80.10 i R80, koje su van podrške.
Check Point je potvrdio da je ranjiv svaki R82.20 build, za koji još ne postoji Jumbo Hotfix zaštita. Propust obuhvata i samostalne instalacije sa upravljanjem i gateway-om na istom sistemu, Log Server i Multi-Domain Server. Smart-1 Cloud nije pogođen jer je ispravka već primenjena.
Koraci za administratore
Potrebno je primeniti LivePatch iz saveta sk1000155 na svaki Security Management Server i Log Server. Organizacije sa uključenim automatskim ažuriranjima ne bi trebalo da pretpostave da je zakrpa stigla: komanda cplp list prikazuje instalirane LivePatch pakete i njihov status.
Za verzije van podrške Check Point navodi da je ispravka dostupna preko korisničke podrške. Praktičan poslovni zaključak je da se provera zakrpe, ograničavanje Trusted Clients liste i uklanjanje direktne internet izloženosti upravljačkih sistema sprovedu kao jedinstven prioritetan zadatak.