Se ha descubierto una vulnerabilidad crítica de escalada de privilegios en el software cliente Windows de Check Point Harmony SASE (Secure Access Service Edge), que afecta a versiones anteriores a la 12.2. Registrada como CVE-2025-9142, la falla permite a atacantes locales escribir o eliminar archivos fuera del directorio de trabajo de certificados previsto, lo que podría llevar a un compromiso a nivel de sistema. La vulnerabilidad reside en el componente Service de Perimeter81

Se ha descubierto una vulnerabilidad crítica de escalada de privilegios en el cliente de Windows de Harmony SASE (Secure Access Service Edge) de Check Point, que afecta a versiones anteriores a la 12.2.

Registrada como CVE-2025-9142, la falla permite a atacantes locales escribir o eliminar archivos fuera del directorio de trabajo de certificados previsto, lo que podría llevar a un compromiso a nivel de sistema.

La vulnerabilidad existe en el componente Service del software Perimeter81 (Perimeter81.Service.exe), que opera con privilegios de SYSTEM.

La falla surge de una validación insuficiente de los valores de JWT (JSON Web Token) durante la autenticación.

Cuando los usuarios inician el flujo de inicio de sesión de Perimeter81 a través de un manejador de URI, el token JWT se pasa al servicio mediante una llamada IPC, pero se procesa sin una verificación adecuada de la firma.

Un actor malicioso puede crear una URL perimeter81:// especialmente diseñada con un JWT manipulado que contenga secuencias de travesía de directorios (../../../) en el campo de ID de inquilino.

Esto elude los controles de autenticación y llega al componente del servicio local, que no valida el token antes de procesarlo.

Cadena técnica de ataque

La cadena de explotación se desarrolla en dos fases distintas. Primero, el atacante registra un dominio de autenticación falso; notablemente, p81-falcon.com estaba disponible para registro en el momento del descubrimiento.

Este dominio supera la validación de la lista blanca del cliente. La manipulación del JWT permite la travesía de directorios, lo que faculta al adversario a forzar al servicio de Perimeter81 a crear estructuras de carpetas fuera de la ubicación prevista.

La segunda fase aprovecha la inyección de enlaces simbólicos. Cuando se ejecuta la función GenerateAndLoadCertificates(), escribe certificados de cliente en el directorio de trabajo controlado por el atacante con privilegios de SYSTEM.

Al explotar el Administrador de Objetos de Windows y los enlaces simbólicos del directorio RPC Control, un atacante puede redirigir las escrituras de certificados a ubicaciones arbitrarias del sistema, como C:\Windows\System32.

Impacto de la explotación

Este vector permite a los atacantes sobrescribir archivos críticos del sistema o inyectar DLLs maliciosas. El monitoreo de procesos reveló que el servicio intentaba cargar DLLs faltantes desde su directorio de trabajo.

Al colocar una DLL maliciosa en estas ubicaciones esperadas, los atacantes pueden ejecutar código cuando el servicio de Perimeter81 se reinicia, escalando así a acceso de nivel SYSTEM.

La vulnerabilidad se ve agravada por el hecho de que la lógica de manejo de archivos del servicio no aplica límites estrictos de confianza entre la entrada del usuario y las operaciones privilegiadas.

Check Point fue notificado sobre la vulnerabilidad el 16 de marzo de 2025 y lanzó una corrección en la versión 12.2 el 18 de noviembre de 2025. El CVE se hizo público el 14 de enero de 2026.

Las organizaciones que utilizan Harmony SASE deben actualizar inmediatamente a la versión 12.2 o posterior para mitigar el riesgo de ataques de escalada de privilegios locales.

Según el aviso de Amberwolf, las organizaciones deben desplegar de inmediato la versión 12.2 o posterior del agente Harmony SASE.

Además, debes restringir el acceso administrativo local e implementar listas blancas de aplicaciones para prevenir ataques de inyección de DLL no autorizados.