Alerta de Vulnerabilidade - Check Point Management

Vulnerabilidade de stack-based buffer overflow (CWE-121) no Check Point Quantum Security Management, com o identificador CVE-2026-91843/EUVD-2026-80699 [1][2][4]. O Security Management Server é a plataforma de gestão centralizada de políticas e configuração das firewalls Check Point, e o Log Server armazena a respetiva telemetria. O processo de login destes servidores trata o pedido antes de a autenticação ocorrer, e um nome de utilizador excessivamente longo, controlado pelo atacante, causa o overflow de um buffer na stack, corrompendo o estado de execução e permitindo a execução de código como utilizador root [1].

O ataque não requer credenciais nem interação, e o caminho vulnerável é alcançado apenas através do acesso de Trusted Clients ao SmartConsole, pelo que a exposição depende de esse acesso estar disponível ao atacante [3]. São afetados o Security Management Server, o Multi-Domain Security Management Server, o Log Server e o Multi-Domain Log Server, incluindo instalações standalone; o serviço Smart-1 Cloud não é afetado [1][3]. Versões afetadas [1][3]:

• R82.20 (todas as compilações)
• R82.10 com Jumbo Hotfix Take 44 ou anterior
• R82 com Jumbo Hotfix Take 126 ou anterior
• R81.20 com Jumbo Hotfix Take 166 ou anterior
• R81.10 com Jumbo Hotfix Take 190 ou anterior (fim de suporte)
• R81, R80.40, R80.30, R80.20, R80.10 e R80 (fim de suporte)

Um atacante remoto não autenticado, sem interação do utilizador, envia um único pedido de login manipulado ao serviço de gestão e obtém execução de código como utilizador root [1].

Como estes servidores detêm o plano de controlo das firewalls geridas, o acesso root permite a manipulação de políticas de segurança, a alteração de logs e o movimento lateral para as gateways geridas [1].

Recomenda-se a aplicação do LivePatch descrito no sk1000155 a todos os Security Management Server e Log Server; os clientes com atualizações automáticas ativas já estão protegidos [1].

Medidas adicionais de mitigação e deteção:

• Confirmar em cada servidor que o LivePatch está instalado e armado (por exemplo, com cplp list), em vez de tratar a definição de atualização automática como prova de aplicação. Os números de Take do LivePatch (Take 29 no R82.20; Take 28 no R82.10, R82 e R81.20) não coincidem com os das Jumbo Hotfix; confirmar o pacote exato no sk1000155 [1].
• As ramificações em fim de suporte (R81.10 e anteriores) não têm correção regular; abrir um pedido ao suporte da Check Point para a correção dessas versões e priorizar a migração para uma versão suportada [1].
• Como o caminho vulnerável só é alcançado através dos Trusted Clients, restringi-los a endereços IP ou sub-redes de administração conhecidos (Manage & Settings, Permissions & Administrators, Trusted Clients), não utilizar o tipo de cliente "Any" e não expor o acesso de gestão diretamente à Internet [1][3].
• Rever os logs de login administrativo do Security Management Server e do Log Server para identificar tentativas de login com nomes de utilizador anormalmente longos.

[1] - https://support.checkpoint.com/results/sk/sk1000155
[2] - https://nvd.nist.gov/vuln/detail/CVE-2026-91843
[3] - https://thehackernews.com/2026/09/critical-check-point-management-server.html
[4] - https://euvd.enisa.europa.eu/vulnerability/EUVD-2026-80699