Investigadores de ciberseguridad han compartido detalles técnicos adicionales
sobre una vulnerabilidad crítica de seguridad, recientemente parcheada, que
afecta a Check Point Security Management Server y Multi-Domain Security
Management Server (MDS) y que está siendo explotada activamente.
La vulnerabilidad, identificada como
CVE-2026-16232
(CVSS: 9.3), consiste en una omisión de autenticación en el proceso de
inicio de sesión de SmartConsole que permite a un atacante remoto no
autenticado obtener un token de inicio de sesión de la aplicación y usarlo
para autenticarse con privilegios de administrador completos.
«Aprovechando CVE-2026-16232, un atacante no autenticado puede obtener un
token de inicio de sesión de la aplicación, usarlo para iniciar sesión a
través de SmartConsole con privilegios de administrador completos y
modificar la política o configuración de seguridad»,
afirmó Rapid7.
Para explotar con éxito esta vulnerabilidad, el atacante necesita acceso a la
red del Management Server y una configuración que no restrinja los clientes de
confianza. Check Point ha revelado que tiene conocimiento de que algunos
clientes están siendo atacados por esta vulnerabilidad de día cero.
El análisis de Rapid7 sobre la vulnerabilidad ha revelado que la causa raíz es
una ruptura en el límite de confianza en la ruta de autenticación de la
aplicación, lo que permite al atacante iniciar sesión en un dispositivo
vulnerable a través de SmartConsole con privilegios de administrador
completos.
En concreto, se ha descubierto que un servidor vulnerable acepta un nombre
distintivo (DN) de Comunicación Interna Segura (SIC) proporcionado por el
atacante como la identidad de una aplicación remota, en lugar de vincular
dicha identidad al DN del certificado del par remoto autenticado, devuelto por
la función «getCertificateDnName()».
Como resultado, un atacante puede leer el DN SIC del propio servidor de
administración durante la comunicación de arranque no autenticada y
autenticarse como una aplicación remota reproduciendo el DN de dicho servidor,
obteniendo un token de inicio de sesión de la aplicación y, posteriormente,
generando un nuevo ticket de inicio de sesión único (SSO) de SmartConsole a
través de la sesión de aplicación falsificada.
El parche introducido por Check Point garantiza que los clientes remotos
utilicen el DN del certificado del par remoto autenticado, lo que provoca que
se rechace cualquier discrepancia entre el DN proporcionado y la identidad
autenticada. También añade una nueva comprobación de identidad vacía que
impide el inicio de sesión remoto en aplicaciones cuando no existe una
identidad SIC autenticada.
«Para que el DN del servidor proporcionado supere las comprobaciones del
parche, el atacante necesitaría un certificado de cliente autenticado cuyo
DN de sujeto ya coincida con el DN del servidor, lo que elimina la
vulnerabilidad de acceso no autenticado», explicó Stephen Fewer de Rapid7.
Rapid7 ha publicado un
script de Python
de prueba de concepto (PoC) que permite validar si un objetivo es vulnerable o
si se ha aplicado el parche para corregir la vulnerabilidad.
Se recomienda a los clientes que apliquen las correcciones urgentes (Hotfixes)
publicadas por Check Point el 22 de julio de 2026 para solucionar la
vulnerabilidad lo antes posible.
Fuente:
THN