CVE-2026-50751-Mitigation-Scripts

توجد تقنيات تخفيف متعددة يمكنك استخدامها من sk; https://support.checkpoint.com/results/sk/sk185033

1. تعطيل دعم العملاء القدامى.
2. تكوين الوصول عن بُعد لاستخدام ike v2 فقط

توجد سكريبتات لكلا هذين التغييرين; يرجى قراءة https://support.checkpoint.com/results/sk/sk166415 لفهم عملاء ikev2 المدعومين

SMS

إذا كنت تريد تنفيذ الخيار 1 وتعطيل العملاء القدامى، فقم بتنزيل disable_legacy_clients.SMS.sh وتشغيله من سطر الأوامر الخاص بجهاز الإدارة. تأكد من تنفيذ chmod +x disable_legacy_clients.SMS.sh لجعله قابلاً للتنفيذ. يُرجى ملاحظة أن هذا يستخدم كائنات عامة ويحمل نفس مخاطر DBEDIT

إذا كنت تريد ببساطة التبديل إلى ike v2، فيمكنك تشغيل هذا الأمر البسيط المكوَّن من سطر واحد للقيام بذلك; mgmt_cli -r true set global-properties remote-access.vpn-authentication-and-encryption.encryption-method “ike_v2_only"

MDS

هذا السكريبت مخصص لبيئات إدارة أمان النطاقات المتعددة (Multi-Domain Security Management) من Check Point. وهو يتنقل عبر كل نطاق (Domain) مُعد على خادم MDS ويطبّق إما تغيير العميل القديم أو تغيير ikev v2 كما في سكريبت SMS أعلاه.

الغرض

مرة أخرى، يوجد سكريبتان;

1. disable_legacy_clients_MDS.sh سيعمل على تعطيل خانة اختيار العميل القديم على كل كائن بوابة (Gateway Object) في كل نطاق في MDS الخاص بك. ويتنقل عبر جميعها دفعة واحدة، لذا قد يستغرق بعض الوقت. مرة أخرى... يُرجى ملاحظة أن هذا يستخدم كائنات عامة ويحمل نفس مخاطر DBEDIT
2. switch_ikev2_mds.sh يطبّق هذا السكريبت تغيير Management API التالي في كل نطاق: mgmt_cli -r true set global-properties remote-access.vpn-authentication-and-encryption.encryption-method "ike_v2_only"

المتطلبات

يتم التشغيل من خادم إدارة MDS يجب تمكين Check Point Management API يجب أن يكون mgmt_cli متاحاً في الصدفة (Shell) يجب تشغيل السكريبت بواسطة مسؤول على دراية ببيئات MDS تأكد من استخدام "chmod +x script_name.sh" لجعل السكريبت قابلاً للتنفيذ. قم بالتنفيذ باستخدام ./script_name.sh.sh

ملاحظات هامة

يقوم هذا السكريبت بنشر التغييرات تلقائياً باستخدام -r true. لا يزال تثبيت السياسة (Policy Install) مطلوباً على البوابات المتأثرة حتى يصبح التغيير ساري المفعول. اختبر في بيئة مختبرية أو في نافذة صيانة قبل التشغيل في بيئة الإنتاج. يرجى قراءة https://support.checkpoint.com/results/sk/sk166415 لفهم عملاء ikev2 المدعومين

راجع قائمة النطاقات قبل تطبيق التغييرات على نطاق واسع. مثال على الأمر المستخدم لكل نطاق mgmt_cli -r true -d "<DOMAIN_NAME>" set global-properties remote-access.vpn-authentication-and-encryption.encryption-method "ike_v2_only" التحقق بعد التغيير

يمكنك التحقق من القيمة في نطاق باستخدام:

mgmt_cli -r true -d "<DOMAIN_NAME>" show global-properties details-level full --format json | jq '.["remote-access"]["vpn-authentication-and-encryption"]["encryption-method"]'

النتيجة المتوقعة:

"ike_v2_only"

إخلاء مسؤولية

استخدمه على مسؤوليتك الخاصة. تحقق دائماً من صيغة الأوامر مقابل إصدار Check Point الخاص بك ومخطط Management API قبل التشغيل في بيئة الإنتاج.