wadesweaponshed/checkpoint-cve-webscannerEine Webversion der Bash-Skripte, die für Check Point CVE-2026-50751 und CVE-2026-50752 geschrieben wurden. Diese verwendet einen lokalen Server, um Scans durchzuführen und Änderungen über die Check Point Web API vorzunehmen.
Eine genehmigungsbasierte lokale Web-App zum Scannen von Konfigurationsmarkern im Zusammenhang mit Check Point CVE-2026-50751, CVE-2026-50752, CVE-2026-85102 und CVE-2026-85103 sowie zum Anwenden ausgewählter Mitigationen über Check Point Management API-Befehle.
Dieses Tool wurde nicht von Check Point erstellt oder unterstützt und sollte auf eigenes Risiko verwendet werden. Die Mitigation ist temporär. Check Point empfiehlt, schnellstmöglich zu patchen, indem die für jede CVE bereitgestellten Patches in den Check Point Security Advisories verwendet werden.
Die App läuft lokal, scannt die relevante VPN-Konfiguration, zeigt an, wo eine Mitigation erforderlich sein könnte, ermöglicht einem Operator, Änderungen zu genehmigen, und kann die Management-Session veröffentlichen. Nach dem Veröffentlichen muss die Policy noch installiert werden, damit die Änderungen auf den Gateways wirksam werden. Konfigurationsbefunde belegen nicht, ob ein Gateway gepatcht oder ausnutzbar ist.
Die Anmeldung unterstützt Benutzername/Passwort- oder API-Key-Authentifizierung. Scan-Ergebnisse verwenden den SMS-Management-Objektnamen oder den zurückgegebenen Smart-1 Cloud/MDS-Domainnamen, sofern verfügbar. Genehmigte Änderungen verwenden die entsprechende Domain-Session.
Scannt die SMS-Globaleigenschaft für Remote Access VPN:
remote-access.vpn-authentication-and-encryption.encryption-method
Wenn der aktuelle Wert nicht ike_v2_only ist, kann die App eine Änderung genehmigen und anwenden, um die Eigenschaft auf Folgendes zu setzen:
ike_v2_only
Dieser Scan soll Expositionen identifizieren, bei denen veralteter IKEv1-Schlüsselaustausch für VPN Remote Access und Mobile Access weiterhin global erlaubt ist. IKEv1 ist veraltet und entspricht nicht mehr der branchenüblichen Best Practice. Diese Änderung kann ältere VPN-Clients beeinträchtigen. Weitere Check Point-Hinweise finden Sie in SK166415.
Scannt Simple Gateways und prüft für jedes Gateway-Generic-Objekt die VPN-Realm innerhalb von:
realmsForBlades
Die App meldet, ob Legacy-Clients unterstützt oder deaktiviert sind. Wenn die Mitigation genehmigt wird, setzt sie den disabled-Wert des VPN-Realm-Owned-Objekts auf true.
Benutzerseitiger Ergebnistext:
Legacy clients are disabledLegacy Clients are SupportedDas Zulassen von Legacy-Clients kann die Unterstützung für IKEv1 aufrechterhalten, was nicht mehr der branchenüblichen Best Practice entspricht. Wir empfehlen, diese Einstellung zu deaktivieren, sofern Legacy-Clients nicht weiterhin erforderlich sind. Wenn Legacy-Clients benötigt werden, planen Sie deren Migration auf einen sichereren, modernen VPN-Client.
Diese Prüfung sucht nach Personal-Certificate-Authentifizierung als Konfigurationsmarker für das in der App beschriebene Zertifikatsvalidierungsproblem: Die unsachgemäße Validierung von Zertifikatsdaten während der VPN-Aushandlung kann es einem nicht authentifizierten Remote-Angreifer ermöglichen, beliebigen Code auf dem Gateway auszuführen.
Für jedes Simple Gateway, das in der gescannten Management-Domain zurückgegeben wird, fordert die App vollständige Details mit show-simple-gateway an. Die entsprechende CLI-Prüfung lautet:
mgmt_cli -r true show simple-gateway name "YOUR_GATEWAY_NAME" details-level full --format json
Sie untersucht vpn-settings.authentication.authentication-clients, einschließlich des verschachtelten authentication-methods-Arrays jedes Clients, auf:
{
"name": "Personal_Certificate",
"display-name": "Personal Certificate",
"authentication-methods": [
{ "authentication-factor": "personal-certificate" }
]
}
Die Erkennung verwendet den Authentifizierungsfaktor, nicht einen fest codierten Client-Namen. Die Evidenztabelle zeigt das Gateway, die Domain, die UID, den aktuellen Status, übereinstimmende Client-Anzeigenamen und den Status. Fehlende oder unvollständige Details werden als Unknown angezeigt; API-Fehler werden als Scan error angezeigt. Keines von beiden wird als sauberes Ergebnis behandelt. Diese Prüfung zählt derzeit Simple Gateways auf, nicht Cluster-Objekte.
Aktivieren Sie das Kontrollkästchen für jedes zu aktualisierende Gateway und klicken Sie dann auf Remove User Certificate. Die App prüft die ausgewählten Gateways erneut und entfernt die erkannten Personal-Certificate-Login-Optionen anhand ihrer tatsächlichen Objektnamen. Für einen Client namens Personal_Certificate lautet der entsprechende Befehl:
mgmt_cli -r true set simple-gateway name "YOUR_GATEWAY_NAME" vpn-settings.authentication.authentication-clients.remove "Personal_Certificate"
Andere Authentication-Client-Einträge bleiben bestehen. Das Entfernen einer Login-Option entfernt diese gesamte Option, einschließlich aller darin enthaltenen zusätzlichen Methoden; Zertifikatsobjekte werden dabei nicht gelöscht. Clients, die auf der entfernten Option basieren, benötigen nach der Policy-Installation eine andere Authentifizierungsmethode.
Publish after successful apply ist standardmäßig aktiviert. Die App meldet einzelne Gateway-Erfolge und -Fehler und aktualisiert den Scan anschließend. Wenn die Aktualisierung eines Gateways fehlschlägt, veröffentlicht diese Aktion die erfolgreichen Änderungen nicht automatisch; prüfen Sie sie, bevor Sie manuell veröffentlichen. Veröffentlichungsfehler werden separat gemeldet. Installieren Sie die Policy nach dem Veröffentlichen.
Scannt beide Check Point Site-to-Site-VPN-Community-Typen:
Die App markiert eine VPN-Community nur, wenn alle folgenden Punkte beobachtet werden:
Bei Star-Communities zeigt die App Center-Gateways und Satellite-Gateways getrennt an. Gateway-Namen werden als lokal verwaltet oder extern verwaltet gekennzeichnet, wenn die API-Daten genügend Objekttypinformationen liefern.
Bei Mesh-Communities bezieht die App Gateway-Namen aus der gateways-Liste der Community. Mesh-Communities enthalten in diesem Tool keine Behandlung extern verwalteter Gateways, daher wird dieses Feld als nicht zutreffend angezeigt.
Wenn die Mitigation genehmigt wird, versucht die App, die Verschlüsselungsmethode der VPN-Community auf IKEv2 only zu setzen. Star-Communities verwenden:
set-vpn-community-star
Mesh-Communities verwenden:
set-vpn-community-meshed
Wenn eine ausgewählte Star-Community extern verwaltete Gateways enthält, warnt die App vor dem Anwenden der Änderung. Sie müssen sicherstellen, dass die entsprechende IKEv2-only-Änderung auch auf der Seite des extern verwalteten Gateways vorgenommen wird.
Liest firewall.accept-control-connections aus show-global-properties mit details-level: full. Die Tabelle zeigt Enabled, Disabled, Unknown oder Scan error, mit Management-/Domain-Labels und API-Evidenz.