CVE-2021-30356

Check Point Identity Agent, antes de R81.018.0000, permite a un usuario con privilegios bajos sobrescribir archivos protegidos del sistema: una debilidad de seguimiento de enlaces (symlink) en la que el agente escribe en una ruta que un usuario sin privilegios puede redirigir, aplastando archivos que no debería poder tocar. Se reporta como un problema de denegación de servicio, y el impacto lo confirma: la integridad y la disponibilidad se ven afectadas, la confidencialidad no. Se trata de corromper archivos protegidos en una máquina, no de robar datos de ella.

La precondición clave es que el atacante ya sea un usuario con privilegios bajos en un host que ejecuta el agente, por lo que esto es un abuso local de confianza, no una intrusión remota. El resultado realista es que un usuario sobrescriba archivos protegidos del sistema para perturbar el endpoint —degradando o deshabilitando funcionalidad, o potencialmente manipulando archivos de un modo que socava el propio agente de seguridad—. Ese requisito local, ya autenticado, es lo que lo mantiene en la banda alta-pero-no-crítica a pesar del poder de sobrescritura de archivos; nadie llega a esto sin estar primero en la máquina.

Nuestro enfoque es la cobertura estándar de parches de la flota de agentes ponderada según dónde existen usuarios locales no confiables. Actualizaríamos Identity Agent a R81.018.0000 o posterior en los endpoints gestionados, priorizando las máquinas compartidas o multiusuario donde un usuario con privilegios bajos que recurra a la corrupción de archivos es lo más plausible. Dado que un fallo de symlink que permite a un usuario manipular los propios archivos de un agente de seguridad puede socavar las defensas del endpoint, lo clasificamos un escalón por encima de una DoS simple y lo integramos en el mantenimiento normal de agentes de endpoint en lugar de una respuesta de emergencia.