Check Point FireWall-1 on Windows NT 存在 DoS 漏洞（CPU 100%）與修補方案

漏洞概述

• 影響產品：Check Point FireWall-1 4.0 / 4.1 on Windows NT
• 漏洞類型：拒絕服務攻擊
• 影響：遠端攻擊者傳送二進位零資料流至防火牆 SMTP 連接埠 (TCP 25)，導致 SMTP Security Server 進程 CPU 佔用飆升至 100%，防火牆癱瘓，無法處理正常流量。
• CVE 編號：CVE-2000-XXXX（歷史漏洞，現代版本已修補）

技術細節

FireWall-1 內建 SMTP Security Server，功能包含 SMTP 代理、CVP 病毒掃描、URI 過濾。該模組對「二進位零位元組流」（/dev/zero）處理邏輯缺陷，陷入無限迴圈/資源耗盡，導致 CPU 100%。

驗證方法（僅限授權測試環境）

# Linux 下使用 Netcat 發送零資料流
nc  25 < /dev/zero

防火牆 CPU 瞬間飆升至 100%，管理介面無回應，正常封包轉發中斷。此特徵極易被濫用於 分散式阻斷服務 (DDoS) 攻擊放大器。

解決方案

1. 官方修補程式：安裝 Check Point FireWall-1 SP3 或更高版本，修正 SMTP Security Server 解析邏輯，拒絕異常零資料流。
2. 臨時緩解：
   - 防火牆規則：封鎖非信任來源對 TCP 25 的連線。
   - 停用 SMTP Security Server（若不需郵件內容檢查）。
   - 部署上游郵件閘道/反垃圾郵件設備，卸載防火牆 SMTP 檢查職責。

參考資源

• XPert.com/services.html（歷史廠商公告）
• Check Point 官方知識庫 SKXXXXXX

歷史教訓與現代啟示

• 「功能越多、攻擊面越大」：防火牆內建應用層代理（SMTP、HTTP、FTP）若未嚴格邊界檢查，易成 DoS 入口。
• 及時套用廠商安全修補程式，訂閱安全公告 RSS/郵件列表。
• 最小化暴露面：僅開放必要服務連接埠，關閉未用功能模組。
• 現代新一代防火牆（NGFW）架構已將應用層檢查模組化、沙箱化、資源配額化，單一模組崩潰不再拖垮整機。

小結

Check Point FireWall-1 4.0/4.1 on NT 的 SMTP 零資料流 DoS 漏洞，經典案例提醒我們：安全產品本身也會有漏洞，必須像守護業務系統一樣守護安全設備。打上 SP3、關閉非必要代理、最小化暴露面，三管齊下。