CVE Web Check

تطبيق ويب محلي يعتمد على الموافقة لفحص ومعالجة التعرض المحتمل لثغرات Check Point CVE-2026-50751 و CVE-2026-50752 باستخدام أوامر واجهة إدارة Check Point الموثوقة.

هذه الأداة غير منشأة أو مدعومة من Check Point ويجب استخدامها على مسؤوليتك الخاصة. المعالجة مؤقتة. توصي Check Point بالتحديث السريع باستخدام التصحيحات المقدمة لكل ثغرة في إعلانات أمان Check Point.

يعمل التطبيق محلياً، ويُسجل الدخول إلى خادم إدارة أمان Check Point أو MDS، ويفحص تكوين VPN ذي الصلة، ويُظهر بالضبط أين قد تكون المعالجة مطلوبة، ويسمح للمشغل بالموافقة على التغييرات، ويطبق التغييرات عبر واجهة إدارة Check Point، ويمكنه نشر جلسة الإدارة. لا تزال السياسة بحاجة إلى التثبيت بعد النشر حتى تدخل تغييرات المعالجة حيز التنفيذ على البوابات.

ما الذي يتحقق منه

فحص وإصلاح الخاصية العامة لإصدار IKE (CVE-2026-50751)

يفحص الخاصية العامة لـ SMS الخاصة بـ Remote Access VPN:

remote-access.vpn-authentication-and-encryption.encryption-method

إذا لم تكن القيمة الحالية ike_v2_only، يمكن للتطبيق الموافقة على تطبيق تغيير لتعيين الخاصية إلى:

ike_v2_only

يهدف هذا الفحص إلى تحديد التعرض حيث لا يزال تبادل المفاتيح القديم IKEv1 مسموحاً به عالمياً للوصول عن بُعد لـ VPN والوصول عبر الأجهزة المحمولة. يعتبر IKEv1 قديماً ولم يعد أفضل الممارسات الصناعية. قد يؤثر هذا التغيير على عملاء VPN القدامى. راجع SK166415 للحصول على إرشادات إضافية من Check Point.

فحص وإصلاح السماح للعملاء القدامى (CVE-2026-50751)

يفحص البوابات البسيطة ويتحقق من كل كائن عام للبوابة من أجل نطاق VPN داخل:

realmsForBlades

يُبلغ التطبيق عما إذا كان العملاء القدامى مدعومين أو معطلين. عند الموافقة على المعالجة، يقوم بتعيين قيمة disabled للكائن المملوك لنطاق VPN إلى true.

نص النتيجة المعروض للمستخدم:

• تم تعطيل العملاء القدامى
• العملاء القدامى مدعومون

يمكن أن يؤدي السماح للعملاء القدامى إلى الحفاظ على دعم IKEv1، والذي لم يعد أفضل الممارسات الصناعية. نوصي بتعطيل هذا الإعداد ما لم يكن العملاء القدامى لا يزالون مطلوبين. إذا كان العملاء القدامى ضروريين، فخطط لنقلهم إلى عميل VPN حديث أكثر أماناً.

فحص وإصلاح مجتمعات VPN من موقع إلى موقع (CVE-2026-50752)

يفحص كلا نوعي مجتمعات VPN من موقع إلى موقع لـ Check Point:

• مجتمعات النجمة
• مجتمعات الشبكة

يضع التطبيق علامة على مجتمع VPN فقط عندما يتم ملاحظة جميع ما يلي:

• تم تمكين VPN من موقع إلى موقع.
• يستخدم مجتمع VPN IKEv1.
• تستخدم البوابات المشاركة في مجتمع VPN مصادقة قائمة على الشهادة.

بالنسبة لمجتمعات النجمة، يعرض التطبيق بوابات المركز والبوابات التابعة بشكل منفصل. يتم وضع علامة على أسماء البوابات كمديرة محلياً أو مديرة خارجياً عندما توفر بيانات واجهة الإدارة معلومات كافية عن نوع الكائن.

بالنسبة لمجتمعات الشبكة، يسحب التطبيق أسماء البوابات من قائمة gateways في المجتمع. لا تشمل مجتمعات الشبكة معالجة البوابة المُدارة خارجياً في هذه الأداة، لذلك يتم عرض هذا الحقل على أنه غير قابل للتطبيق.

عند الموافقة على المعالجة، يحاول التطبيق تعيين طريقة تشفير مجتمع VPN إلى IKEv2 فقط. تستخدم مجتمعات النجمة:

set-vpn-community-star

تستخدم مجتمعات الشبكة:

set-vpn-community-meshed

إذا كان مجتمع النجمة المحدد يتضمن بوابات مُدارة خارجياً، يحذر التطبيق قبل تطبيق التغيير. يجب عليك التأكد من إجراء التغيير المطابق لـ IKEv2 فقط أيضاً على جانب البوابة المُدارة خارجياً.

سير العمل

1. سجل الدخول باستخدام مستخدم واجهة إدارة Check Point.
2. انقر على Scan Check Point Config.
3. راجع خاصية SMS العامة، نتائج بوابة العملاء القدامى، ونتائج مجتمع VPN من موقع إلى موقع.
4. وافق فقط على التغييرات التي تريد تطبيقها.
5. انقر على زر التطبيق المطابق.
6. انشر من الأداة أو قم بإلغاء تحديد Publish after successful apply إذا كنت تريد الفحص والنشر يدوياً.
7. قم بتثبيت السياسة بعد النشر حتى تدخل التغييرات على البوابة حيز التنفيذ.

ملاحظات أمنية

• يفترض التطبيق استخدام HTTPS عند الاتصال بخادم إدارة Check Point.
• لا تقم بإدخال خادم الإدارة كـ http://...، فهذا سيرسل تسجيل الدخول لواجهة إدارة Check Point عبر نص عادي HTTP.
• يتحدث المتصفح مع الواجهة الخلفية المحلية عبر http://127.0.0.1:3000.
• يتم إرسال اسم المستخدم وكلمة المرور من المتصفح إلى الواجهة الخلفية المحلية فقط على localhost.
• ترسل الواجهة الخلفية اسم المستخدم وكلمة المرور إلى Check Point عبر طلب تسجيل الدخول لواجهة الإدارة.
• لا يتم تسجيل كلمات المرور بواسطة التطبيق.
• يتم تخزين معرف جلسة Check Point فقط في ذاكرة الخادم طوال عمر عملية Node المحلية.
• خيار Allow self-signed certificate يحافظ على تشفير TLS ولكنه يعطل التحقق من الشهادة. استخدمه فقط عند الحاجة.

الأوامر المستخدمة لواجهة الإدارة

تقوم الواجهة الخلفية بتوكيل أوامر واجهة إدارة Check Point التالية:

• login
• logout
• publish
• show-simple-gateways
• show-generic-object
• set-generic-object
• show-global-properties
• set-global-properties
• show-vpn-communities-star
• show-vpn-communities-meshed
• set-vpn-community-star
• set-vpn-community-meshed

التثبيت والتشغيل

لا يحتوي هذا المشروع على أي تبعيات npm خارجية. يتطلب فقط Node.js 18 أو أحدث عند التشغيل من المصدر.

macOS من المصدر

1. قم بتثبيت Node.js 18 أو أحدث من nodejs.org أو Homebrew.

   root@kitploit:~

   brew install node
   

2. قم بتنزيل أو استنساخ هذا المشروع.

   root@kitploit:~

   git clone <repo-url>
   cd CVE-Web-Check
   

3. ابدأ التطبيق المحلي.

   root@kitploit:~

   npm start
   

   نظراً لعدم وجود تبعيات npm، يعمل هذا أيضاً:

   root@kitploit:~

   node server.js
   

4. افتح التطبيق.

   root@kitploit:~

   http://127.0.0.1:3000
   

Windows من المصدر

1. قم بتثبيت Node.js 18 أو أحدث من nodejs.org.

2. قم بتنزيل واستخراج ملف ZIP الخاص بالمشروع، أو استنساخ المستودع باستخدام Git for Windows.

   root@kitploit:~

   git clone <repo-url>
   cd CVE-Web-Check
   

3. ابدأ التطبيق المحلي.

   root@kitploit:~

   npm start
   

   نظراً لعدم وجود تبعيات npm، يعمل هذا أيضاً:

   root@kitploit:~

   node server.js
   

4. افتح التطبيق في متصفح.

   root@kitploit:~

   http://127.0.0.1:3000
   

تغيير المنفذ اختيارياً

بشكل افتراضي، يستمع التطبيق على 127.0.0.1:3000. لاستخدام منفذ آخر:

macOS:

PORT=3100 npm start

Windows PowerShell:

$env:PORT = "3100"
npm start

ثم افتح:

http://127.0.0.1:3100

استكشاف الأخطاء وإصلاحها

يقوم الخادم بطباعة تشخيصات الطلبات إلى الطرفية. ستظهر محاولة تسجيل دخول ناجحة سطوراً مشابهة لما يلي:

Local API request requestId=abc12345 route=/api/login
Login request received target=https://mgmt.example.com/web_api/login user=admin
Check Point API request starting command=login target=https://mgmt.example.com/web_api/login

إذا أظهر المتصفح خطأ في تسجيل الدخول مع معرف طلب ولكن التقاط الحزمة لم يُظهر أي محاولة صادرة إلى خادم الإدارة، قارن قيمة target= في الطرفية مع عامل تصفية التقاط الحزمة لديك.

إذا لم يكن هناك سطر Local API request على الإطلاق، فإن المتصفح لا يصل إلى الواجهة الخلفية المحلية. تأكد من تشغيل التطبيق وأنك فتحت عنوان URL المحلي الصحيح.