Μια κρίσιμη ευπάθεια κλιμάκωσης προνομίων εντοπίστηκε στο Check Point Harmony SASE Windows Client, επηρεάζοντας εκδόσεις πριν από την 12.2. Το κενό ασφαλείας έχει καταγραφεί ως CVE-2025-9142 και επιτρέπει σε τοπικούς επιτιθέμενους να γράφουν ή να διαγράφουν αρχεία εκτός του προβλεπόμενου καταλόγου πιστοποιητικών, οδηγώντας δυνητικά σε πλήρη συμβιβασμό συστήματος.
Πού εντοπίζεται η ευπάθεια
Η ευπάθεια βρίσκεται στο Service component του λογισμικού Perimeter81 (Perimeter81.Service.exe), το οποίο εκτελείται με SYSTEM privileges. Το πρόβλημα προκύπτει από ανεπαρκή επαλήθευση των JWT (JSON Web Token) κατά τη διαδικασία αυθεντικοποίησης.
Στοιχεία CVE
- CVE ID: CVE-2025-9142
- Προϊόν: Harmony SASE Windows Client
- Επηρεαζόμενες εκδόσεις: Below 12.2
- Σοβαρότητα: Medium
Κατάχρηση του μηχανισμού URI
Όταν οι χρήστες ξεκινούν τη ροή σύνδεσης του Perimeter81 μέσω URI handler, το JWT token μεταφέρεται στην υπηρεσία μέσω IPC call, χωρίς να γίνεται σωστή επαλήθευση της υπογραφής. Ένας κακόβουλος παράγοντας μπορεί να δημιουργήσει ένα ειδικά διαμορφωμένο perimeter81:// URL με αλλοιωμένο JWT που περιέχει directory traversal sequences (../../../) στο πεδίο tenant ID.
Αυτό παρακάμπτει τους μηχανισμούς αυθεντικοποίησης και φτάνει στο τοπικό service component, το οποίο αποτυγχάνει να ελέγξει το token πριν το επεξεργαστεί.
Τεχνική αλυσίδα επίθεσης
Η επίθεση εξελίσσεται σε δύο φάσεις. Αρχικά, ο επιτιθέμενος καταχωρεί ένα rogue authentication domain. Χαρακτηριστικά, το p81-falcon.com ήταν διαθέσιμο προς καταχώρηση κατά τον χρόνο της ανακάλυψης. Το domain περνά τον whitelist έλεγχο του client.
Η παραποίηση του JWT επιτρέπει directory traversal, εξαναγκάζοντας την υπηρεσία Perimeter81 να δημιουργήσει δομές φακέλων εκτός του προβλεπόμενου καταλόγου.
Στη δεύτερη φάση αξιοποιείται symbolic link injection. Όταν εκτελείται η συνάρτηση GenerateAndLoadCertificates(), η υπηρεσία γράφει πιστοποιητικά στον attacker-controlled κατάλογο με SYSTEM δικαιώματα. Μέσω κατάχρησης των Windows Object Manager και RPC Control directory symlinks, η εγγραφή μπορεί να ανακατευθυνθεί σε κρίσιμες τοποθεσίες όπως το C:\Windows\System32.
Επιπτώσεις της εκμετάλλευσης
Η ευπάθεια επιτρέπει την αντικατάσταση κρίσιμων system files ή την εισαγωγή κακόβουλων DLLs. Παρακολούθηση διεργασιών έδειξε ότι η υπηρεσία προσπαθεί να φορτώσει missing DLLs από τον working directory. Με την τοποθέτηση κακόβουλου DLL στις αναμενόμενες τοποθεσίες, ο επιτιθέμενος μπορεί να εκτελέσει κώδικα με την επανεκκίνηση της υπηρεσίας, επιτυγχάνοντας SYSTEM-level πρόσβαση.
Το πρόβλημα επιδεινώνεται από το γεγονός ότι η λογική διαχείρισης αρχείων της υπηρεσίας δεν επιβάλλει σαφή trust boundaries μεταξύ user input και προνομιούχων λειτουργιών.
Χρονοδιάγραμμα και αντιμετώπιση
Η Check Point ενημερώθηκε για την ευπάθεια στις 16 Μαρτίου 2025 και διέθεσε διορθωμένη έκδοση 12.2 στις 18 Νοεμβρίου 2025. Το CVE δημοσιοποιήθηκε στις 14 Ιανουαρίου 2026.
Οι οργανισμοί που χρησιμοποιούν Harmony SASE πρέπει να αναβαθμίσουν άμεσα στην έκδοση 12.2 ή νεότερη για να μετριάσουν τον κίνδυνο local privilege escalation attacks. Σύμφωνα με τη σύσταση της Amberwolf, συνιστάται επίσης ο περιορισμός τοπικής διαχειριστικής πρόσβασης και η εφαρμογή application whitelisting για την αποτροπή μη εξουσιοδοτημένων DLL injection attacks.
