Cảnh báo lỗ hổng CVE-2026-123039 trên thiết bị Check Point: Nguy cơ leo thang đặc quyền Root
CISA vừa đưa lỗ hổng CVE-2026-123039 trên các thiết bị Check Point vào danh mục Known Exploited Vulnerabilities. Lỗ hổng cho phép kẻ tấn công leo thang đặc quyền lên quyền Root.
- Mối đe dọa: Lỗ hổng leo thang đặc quyền (Privilege Escalation) nghiêm trọng trong dịch vụ DynamicCLI trên hệ điều hành Gaia OS của Check Point.
- Mã định danh: CVE-2026-123039 với điểm CVSS 7.8, hiện đã bị khai thác trong thực tế.
- Phạm vi ảnh hưởng: Nhiều dòng thiết bị như Force Firewalls, Management Servers và Maestro Orchestrator.
- Khuyến nghị: Cập nhật ngay lập tức lên các phiên bản Jumbo Hotfix mới nhất hoặc áp dụng biện pháp giảm thiểu tạm thời.
Cơ quan An ninh mạng và Cơ sở hạ tầng Hoa Kỳ (CISA) vừa phát đi cảnh báo khẩn cấp về một lỗ hổng bảo mật nghiêm trọng trên các thiết bị của Check Point. Lỗ hổng này, được định danh là CVE-2026-123039, cho phép người dùng cục bộ (local user) leo thang đặc quyền lên quyền Root trên các thiết bị bị ảnh hưởng. Vào ngày 13 tháng 11 năm 2026, CISA đã chính thức bổ sung mã CVE này vào danh mục Known Exploited Vulnerabilities (KEV), xác nhận rằng lỗ hổng đang bị các tác nhân đe dọa khai thác trong các cuộc tấn công thực tế.
Phân tích kỹ thuật lỗ hổng CVE-2026-123039
Theo các nhà nghiên cứu bảo mật, lỗ hổng nằm trong tiến trình dynamic_server, một thành phần chạy với quyền Root chịu trách nhiệm xử lý các chức năng dòng lệnh mở rộng. Tiến trình này nhận các yêu cầu thông qua một socket giao tiếp cục bộ tại đường dẫn /tmp/dynamic_socket. Trên các hệ thống chưa được vá, quyền truy cập của socket này được thiết lập là 0777, cho phép bất kỳ người dùng cục bộ nào cũng có thể ghi dữ liệu vào mà không cần bất kỳ sự kiểm soát truy cập nào.
Điểm yếu cốt lõi nằm ở việc dịch vụ này không thực hiện xác thực (authentication) đối với tiến trình gửi yêu cầu. Khi nhận được lệnh, dynamic_server sẽ thực thi lệnh đó với quyền Root cao nhất, biến một tài khoản người dùng hạn chế thành quyền kiểm soát toàn bộ hệ thống. Mặc dù đây không phải là lỗ hổng thực thi mã từ xa (RCE) độc lập, nhưng nó là một mắt xích nguy hiểm trong chuỗi tấn công (Kill Chain) sau khi kẻ tấn công đã có quyền truy cập cục bộ ban đầu vào thiết bị.
Bảng thông tin chi tiết về lỗ hổng
| Loại thực thể | Giá trị / Chỉ số | Mô tả tác động |
|---|---|---|
| Mã CVE | CVE-2026-123039 | Leo thang đặc quyền lên Root |
| Điểm CVSS | 7.8 (High) | Mức độ nghiêm trọng cao |
| Socket bị lỗi | /tmp/dynamic_socket | Quyền truy cập 0777 không an toàn |
| Tiến trình | dynamic_server | Thực thi lệnh với quyền Root |
Sản phẩm bị ảnh hưởng và giải pháp khắc phục
Các sản phẩm bị ảnh hưởng bao gồm Force Firewalls, Management and Log Servers, Multi-Domain management, và Maestro Orchestrator. Các phiên bản bị ảnh hưởng trải dài từ R81, R81.10, R81.20, R82, R82.10 đến R82.20. Đáng chú ý, Check Point Spark Firewalls và Smart-1 Cloud không nằm trong danh sách bị ảnh hưởng bởi lỗ hổng này.
Để khắc phục triệt để, quản trị viên cần cập nhật hệ thống thông qua các bản cập nhật Jumbo Hotfix Accumulator. Các phiên bản đã được vá bao gồm: R82.20 Take 14, R82.10 Take 52, R82 Take 132, và R81.20 Take 174. Bản vá này hoạt động bằng cách chặn và ghi nhật ký các yêu cầu DynamicCLI trái phép.
Hướng dẫn giảm thiểu tạm thời (Workaround)
Trong trường hợp chưa thể cập nhật ngay lập tức, quản trị viên có thể tạm thời vô hiệu hóa dịch vụ để ngăn chặn việc khai thác bằng các lệnh sau:
dbset process:dynamic_server stop
dbset :save⚠️ Cảnh báo quan trọng: Việc thực hiện lệnh trên sẽ vô hiệu hóa các lệnh Dynamic CLI được mô tả trong tài liệu kỹ thuật của hãng. Quản trị viên cần cân nhắc kỹ tác động vận hành trước khi áp dụng biện pháp này.
Săn tìm mối đe dọa (Threat Hunting)
Các nhà nghiên cứu khuyến nghị quản trị viên nên kiểm tra nhật ký tại /var/log/dynamicCli.log để phát hiện các hành vi bất thường. Cần đặc biệt chú ý đến các yêu cầu thiếu trình bao bọc (wrapper) Clish thông thường. Các dấu hiệu cần điều tra bao gồm:
- Các lệnh tạo tài khoản người dùng mới hoặc thay đổi mật khẩu.
- Sự xuất hiện của các SSH keys lạ được thêm vào hệ thống.
- Các lệnh tải xuống tệp tin từ nguồn bên ngoài hoặc truy cập vào các tệp tin nhạy cảm.
- Sau khi áp dụng bản vá, hãy kiểm tra quyền của socket để đảm bảo tính bảo mật:
ls -l /tmp/dynamic_socketSau khi vá thành công, quyền của /tmp/dynamic_socket phải được thiết lập là 0660, thuộc sở hữu của người dùng Root và nhóm config, thay vì 0777 như trước đây. Việc tuân thủ quy trình cập nhật bản vá bảo mật là ưu tiên hàng đầu để bảo vệ hạ tầng mạng trước các cuộc tấn công leo thang đặc quyền đang gia tăng.
Mạng Lưới An Ninh Mạng & Cộng Đồng
Nhận cảnh báo 0-Day khẩn cấp, phân tích mã độc và tham gia thảo luận kỹ thuật cùng chuyên gia.
Ban biên tập nội dung và phân tích an ninh mạng tại ADSECVN.COM.