CVE-2021-30356

O Check Point Identity Agent, antes da R81.018.0000, permite que um usuário com poucos privilégios sobrescreva arquivos de sistema protegidos — uma fraqueza de seguimento de link (symlink) em que o agente escreve em um caminho que um usuário sem privilégios pode redirecionar, destruindo arquivos que ele não deveria poder tocar. É reportada como um problema de negação de serviço, e o impacto confirma isso: integridade e disponibilidade são atingidas, a confidencialidade não. Trata-se de corromper arquivos protegidos em uma máquina, não de roubar dados dela.

A pré-condição-chave é que o atacante já seja um usuário com poucos privilégios em um host que executa o agente, portanto trata-se de um abuso local de confiança, e não de uma invasão remota. O resultado realista é um usuário sobrescrevendo arquivos de sistema protegidos para interromper o endpoint — degradando ou desabilitando funcionalidades, ou possivelmente adulterando arquivos de forma a comprometer o próprio agente de segurança. Esse requisito local e já autenticado é o que a mantém na faixa alta-mas-não-crítica, apesar do poder de sobrescrita de arquivos; ninguém chega a isso sem antes estar na máquina.

Nossa abordagem é a cobertura padrão de patches da frota de agentes, ponderada por onde existem usuários locais não confiáveis. Atualizaríamos o Identity Agent para a R81.018.0000 ou posterior em todos os endpoints gerenciados, priorizando máquinas compartilhadas ou multiusuário, onde um usuário com poucos privilégios partindo para a corrupção de arquivos é mais plausível. Como uma falha de symlink que permite a um usuário adulterar os próprios arquivos de um agente de segurança pode enfraquecer as defesas do endpoint, nós a classificamos um grau acima de um DoS simples e a incorporamos à manutenção normal dos agentes de endpoint, em vez de tratá-la como resposta emergencial.