Actualizar notificación de vulnerabilidad en CheckPoint

NCSC desea proporcionar una actualización del aviso de ayer [1] sobre la explotación activa de la vulnerabilidad en CheckPoint: CVE-2024-24919. El NCSC está familiarizado con los intentos de explotación y la explotación exitosa de la vulnerabilidad en Noruega.

Desde que se envió la notificación, han estado disponibles varios buenos recursos sobre cómo funciona la vulnerabilidad. [2]así como recomendaciones sobre cómo mitigar la vulnerabilidad y realizar investigaciones para negar el compromiso. [3]:

* Actualice los dispositivos afectados a la versión segura

* Eliminar usuarios locales del dispositivo

* Rotar contraseñas/cuentas para conexiones LDAP desde el dispositivo a AD

* Examinar los registros para descartar compromisos [4]

* Actualice las firmas IPS de Check Point si es posible

NCSC hace referencia a los recursos e información anteriores de Check Point [4] y mnemónicos [3] para un mayor seguimiento de la vulnerabilidad, medidas e investigaciones para negar el compromiso. Además, ambos han afirmado tener conocimiento de intentos de explotación que se remontan al 30 de abril. Por lo tanto, las búsquedas deberían realizarse al menos hasta esa fecha.

Si se descubren posibles compromisos, NCSC recomienda que se comunique con su entorno de respuesta específico del sector o MSSP. [5] para asistencia.

Referencias:

[1] https://nsm.no/fagomrader/digital-sikkerhet/nasjonalt-cybersikkerhetssenter/varsler-fra-ncsc/checkpoint-quantum-security-gateway-sarbarhet-utnyttes-aktivt

[2] https://labs.watchtowr.com/check-point-wrong-check-point-cve-2024-24919/

[3] https://www.mnemonic.io/no/resources/blog/advisory-check-point-remote-access-vpn-vulnerability-cve-2024-24919/

[4] https://support.checkpoint.com/results/sk/sk182337

[5] https://nsm.no/kvalitetsordning