CVE-2026-85102 — إنشاء نفق VPN غير مُصادَق عليه في Check Point

يستغل CVE-2026-85102 لإنشاء نفق VPN غير مُصادَق عليه على Check Point Security Gateway عبر تجاوز التحقق من سلسلة شهادات IKE.

استشارة Check Point الرسمية: sk1000117

الثغرة

CVE-2026-85102 — تجاوز التحقق من سلسلة شهادات VPN

المنتج: Check Point Security Gateway، Check Point Spark Firewall الإصدارات المتأثرة: R81.20، R82، R82.10 (ما قبل Bundle T24)، R80-R81.10 (جميع إصدارات EoS) غير المتأثرة: R82.20
المكوّن: libcpcert.so — fwKeyHolder_imp::IsChainTrusted()
السبب الجذري: تستدعي IsChainTrusted() الدالة CanonizeChain() لكنها تتجاهل قيمة الإرجاع الخاصة بها. حتى عند فشل تقنين السلسلة، تُرجع الدالة TRUSTED.

الاستغلال: يمكن للمهاجم:

1. استخراج شهادة ICA الوسيطة من الهدف (المنفذ 18190 أو 443)
2. تزوير شهادة طرفية باستخدام Issuer DN الخاص بـ ICA
3. إفساد توقيع شهادة ICA لتحفيز فشل CanonizeChain()
4. لا تزال سلسلة الشهادات المزوّرة مقبولة كموثوقة
5. إكمال مصادقة IKE دون بيانات اعتماد صالحة

بنية المستودع

CVE-2026-85102.py   # CVE-2026-85102: VPN tunnel establishment (auth bypass)
cp_postex.py             # Post-exploitation helper (tunnel management, recon)

المتطلبات المسبقة

متطلبات جهاز الهجوم

• نظام التشغيل: Linux (يُوصى بـ Ubuntu/Debian/Kali)
• الصلاحيات: root أو sudo (لتهيئة SA الخاصة بـ IPsec في النواة)
• Python: الإصدار 3.8 أو أحدث
• الاعتماديات: pip install cryptography
• الأدوات: openssl، iproute2 (أمر ip)، nc (netcat)

متطلبات الهدف

• بوابة أمان Check Point Security Gateway R81.20 أو R82 أو R82.10
• حزمة Pre-Bundle T24
• تمكين شفرة VPN مع تهيئة مجتمع Remote Access
• معرفة اسم مستخدم VPN واحد على الأقل (مثل testuser)
• إمكانية الوصول إلى المنفذين UDP/500 وTCP/443 من جهاز المهاجم

الاستخدام

إنشاء نفق VPN

# Establish tunnel with certificate bypass
sudo python3 CVE-2026-85102.py<target_ip> -u <vpn_username>
# Output includes Office Mode IP, e.g., 172.16.10.3

# Clean up tunnel
sudo python3 CVE-2026-85102.py--cleanup

مساعد ما بعد الاستغلال

# Establish tunnel and save state
sudo python3 cp_postex.py tunnel up <target_ip> -u <vpn_username>

# Check tunnel status
sudo python3 cp_postex.py tunnel status

# Scan gateway ports through tunnel
sudo python3 cp_postex.py recon scan
sudo python3 cp_postex.py recon scan -p 80,443,18190-18208

# Sweep internal networks through tunnel
sudo python3 cp_postex.py recon sweep 192.168.1.0/24
sudo python3 cp_postex.py recon sweep 192.168.1.0/24 -p 22

# Tear down tunnel
sudo python3 cp_postex.py tunnel down
sudo python3 cp_postex.py tunnel down -f  # Flush all xfrm state

المعاملات

المعامل	الوصف
<target_ip>	عنوان IP لبوابة Check Point
-u <username>	اسم مستخدم VPN (الافتراضي: testuser)
-l <local_ip>	عنوان IP محلي يدوي للأنظمة متعددة الواجهات
-c <cert_host>	مضيف بديل لاستخراج شهادة ICA
--cleanup	إزالة إعدادات النفق

التأثير

• ناقل الهجوم: الشبكة (يمكن الوصول إليه عبر الإنترنت)
• تعقيد الهجوم: منخفض (مؤتمت بالكامل)
• الامتيازات المطلوبة: لا شيء
• تفاعل المستخدم: لا شيء
• تأثير السرية: مرتفع (الوصول إلى شبكة محمية)
• تأثير السلامة: متوسط (يمكن تعديل حركة المرور عبر النفق)
• تأثير التوافر: منخفض
• CVSS 3.1: 9.8 (حرج)

الكشف

راجع السجلات بحثًا عن عمليات تسجيل دخول غير طبيعية إلى Mobile Access قائمة على الشهادات. في SmartConsole/Spark Management، انتقل إلى Logs & Monitor / Logs & Events وابحث عن الأحداث بعد 12 سبتمبر 2026:

product: "Mobile Access" AND action: "Log In" AND "Certificate"

افحص الأحداث بحثًا عن مستخدمين أو عملاء أو عناوين IP مصدر غير معروفة.

مواضيع شهادات مشبوهة تم رصدها:

• CN=vpn,OU=users,O=global
• CN=vpn-user,OU=users,O=global
• CN=vpnuser,OU=users,O=global

المعالجة

خيارات الإصلاح لـ CVE-2026-85102

الخيار 1: Check Point LivePatch (موصى به)

ثبّت LivePatch Take 26 (BUNDLE_URGENT_SECURITY_UPDATE):

• R82.10: Take 26
• R82: Take 26
• R81.20: Take 26

تحقق من صحة التثبيت:

# Check LivePatch status
cplp list

# Expected output includes:
# cpcert:cpca*    CVE-2026-85102 CVE-2026-85103
# cpcert:iked*    CVE-2026-85102 CVE-2026-85103
# cpcert:vpn*     CVE-2026-85102 CVE-2026-85103
# cpcert:vpnrad*  CVE-2026-85102 CVE-2026-85103
# cpcert_cprid:cprid* CVE-2026-85102 CVE-2026-85103

الخيار 2: Jumbo Hotfix Accumulator

• R82.10: استخدم Take 44 أو أحدث
• R82: استخدم Take 126 أو أحدث
• R81.20: استخدم Take 166 أو أحدث
• R81.10: استخدم Take 190 أو أحدث

جدران حماية Spark

• Spark R82.00.10: الإصدار 2325 أو أحدث
• Spark R81.10.17: الإصدار 4968 أو أحدث

تفاصيل التصحيح (CVE-2026-85102)

يعدّل الإصلاح الملف libcpcert.so:

// IsChainTrusted: Check CanonizeChain return value
result = CanonizeChain(this, trusted_ca, sorted, out, i, trust_type);
if (!result) {
    trusted_ca = NULL;
}
return trusted_ca;

// CanonizeChain: Check intermediate operation returns
if (!CopyChain(...)) return NULL;
if (!TruncateChain(...)) return NULL;

إجراءات التخفيف (إذا تعذّر الترقيع)

لشبكات VPN من موقع إلى موقع

عطّل قواعد VPN الضمنية وحدّد يدويًا وصول VPN لـ UDP/500 و UDP/4500 لعناوين IP محددة للأقران. راجع sk179346.

لشبكات VPN للوصول عن بُعد

عطّل القواعد الضمنية لـ Remote Access VPN. أنشئ قواعد تحكم وصول صريحة تسمح لخدمات Remote Access VPN المطلوبة بالوصول إلى Security Gateway:

• UDP/500 (IKE)، UDP/4500 (NAT-T)، TCP/443 (SSL)، TCP/80 (عند الاقتضاء)
• حدّد نطاقات عناوين IP المصدر لعملاء Remote Access عند الاقتضاء

ملاحظة: إجراءات التخفيف هذه لا تنطبق على جدران حماية Spark المُدارة محليًا.

توصيات عامة

• قيّد تعريض خدمة VPN للشبكات الموثوقة
• راقب سجلات جلسات VPN بحثًا عن عمليات تسجيل دخول شاذة
• طبّق تقسيم الشبكة بين عملاء VPN وواجهات الإدارة

المراجع

• Check Point Advisory: sk1000117
• CVE-2026-85102: NVD
• RFC 5996: IKEv2 Protocol Specification

الترخيص

يُقدَّم كود الاستغلال هذا لأغراض البحث الأمني والاختبار. استخدمه على أنظمتك الخاصة أو بترخيص صريح من مالك النظام.