CVE Web Check

Eine lokale Web-App mit Freigabeprozess zum Scannen und Beheben potenzieller Expositionen im Zusammenhang mit Check Point CVE-2026-50751 und CVE-2026-50752 mithilfe vertrauenswürdiger Check-Point-Management-API-Befehle.

Dieses Tool wurde nicht von Check Point erstellt oder unterstützt und wird auf eigene Gefahr verwendet. Die Behebung ist vorübergehend. Check Point empfiehlt, die für jede CVE bereitgestellten Patches in den Check Point Security Advisories zeitnah einzuspielen.

Die App läuft lokal, meldet sich bei einem Check-Point-Security-Management-Server oder MDS an, scannt die relevante VPN-Konfiguration, zeigt genau an, wo eine Behebung erforderlich sein könnte, ermöglicht einem Operator, die Änderungen zu genehmigen, wendet die Änderungen über die Management-API an und kann die Management-Sitzung veröffentlichen. Nach dem Veröffentlichen muss die Policy weiterhin installiert werden, damit die Behebungsänderungen auf den Gateways wirksam werden.

Was geprüft wird

Scan und Behebung der globalen IKE-Versionseigenschaft (CVE-2026-50751)

Scannt die globale Remote-Access-VPN-Eigenschaft des SMS:

remote-access.vpn-authentication-and-encryption.encryption-method

Wenn der aktuelle Wert nicht ike_v2_only ist, kann die App eine Änderung genehmigen und anwenden, um die Eigenschaft auf Folgendes zu setzen:

ike_v2_only

Dieser Scan soll Expositionen identifizieren, bei denen der veraltete IKEv1-Schlüsselaustausch global weiterhin für VPN Remote Access und Mobile Access erlaubt ist. IKEv1 ist veraltet und entspricht nicht mehr der Branchen-Best-Practice. Diese Änderung kann ältere VPN-Clients beeinträchtigen. Weitere Hinweise von Check Point finden Sie in SK166415.

Scan und Behebung der Prüfung auf erlaubte Legacy-Clients (CVE-2026-50751)

Scannt Simple Gateways und prüft bei jedem Generic Object des Gateways die VPN-Realm-Daten in:

realmsForBlades

Die App zeigt an, ob Legacy-Clients unterstützt oder deaktiviert sind. Wenn die Behebung genehmigt wird, setzt sie den Wert disabled des Owned-Objects der VPN-Realm auf true.

Benutzersichtbarer Ergebnistext:

Legacy clients are disabled
Legacy Clients are Supported

Das Zulassen von Legacy-Clients kann die Unterstützung für IKEv1 aufrechterhalten, was nicht mehr der Branchen-Best-Practice entspricht. Wir empfehlen, diese Einstellung zu deaktivieren, sofern Legacy-Clients nicht weiterhin erforderlich sind. Falls Legacy-Clients benötigt werden, planen Sie die Migration auf einen sichereren, modernen VPN-Client.

Scan und Behebung von Site-to-Site-VPN-Communities (CVE-2026-50752)

Scannt beide Check-Point-Typen von Site-to-Site-VPN-Communities:

Star-Communities
Mesh-Communities

Die App markiert eine VPN-Community nur dann, wenn alle folgenden Bedingungen erfüllt sind:

Site-to-Site-VPN ist aktiviert.
Die VPN-Community verwendet IKEv1.
Die an der VPN-Community teilnehmenden Gateways verwenden zertifikatsbasierte Authentifizierung.

Bei Star-Communities zeigt die App Center-Gateways und Satellite-Gateways getrennt an. Gateway-Namen werden als lokal verwaltet oder extern verwaltet gekennzeichnet, wenn die API-Daten genügend Informationen über den Objekttyp liefern.

Bei Mesh-Communities liest die App die Gateway-Namen aus der Liste gateways der Community. Mesh-Communities beinhalten in diesem Tool keine Behandlung extern verwalteter Gateways, daher wird dieses Feld als nicht zutreffend angezeigt.

Wenn die Behebung genehmigt wird, versucht die App, die Verschlüsselungsmethode der VPN-Community auf ausschließlich IKEv2 zu setzen. Star-Communities verwenden:

set-vpn-community-star

Mesh-Communities verwenden:

set-vpn-community-meshed

Wenn eine ausgewählte Star-Community extern verwaltete Gateways enthält, warnt die App, bevor die Änderung angewendet wird. Sie müssen sicherstellen, dass die entsprechende Nur-IKEv2-Änderung auch auf der Seite der extern verwalteten Gateways vorgenommen wird.

Ablauf

Melden Sie sich mit einem Check-Point-Management-API-Benutzer an.
Klicken Sie auf Scan Check Point Config.
Prüfen Sie die SMS-Globaleigenschaft, die Gateway-Ergebnisse für Legacy-Clients und die Ergebnisse der Site-to-Site-VPN-Communities.
Genehmigen Sie nur die Änderungen, die Sie anwenden möchten.
Klicken Sie auf die passende Schaltfläche zum Anwenden.
Veröffentlichen Sie über das Tool oder deaktivieren Sie Publish after successful apply, wenn Sie die Änderungen manuell prüfen und veröffentlichen möchten.
Installieren Sie nach dem Veröffentlichen die Policy, damit die Änderungen auf den Gateways wirksam werden.

Sicherheitshinweise

Die App verwendet standardmäßig HTTPS, wenn sie sich mit dem Check-Point-Management-Server verbindet.
Geben Sie den Management-Server nicht als http://... ein; dadurch würde der Check-Point-API-Login über unverschlüsseltes HTTP gesendet.
Der Browser kommuniziert über http://127.0.0.1:3000 mit dem lokalen Backend.
Benutzername und Passwort werden vom Browser nur über Localhost an das lokale Backend gesendet.
Das Backend sendet Benutzername und Passwort über die Management-API-Login-Anfrage an Check Point.
Passwörter werden von der App nicht protokolliert.
Die Check-Point-Sitzungs-ID wird nur für die Lebensdauer des lokalen Node-Prozesses im Serverspeicher aufbewahrt.
Die Option Allow self-signed certificate behält die TLS-Verschlüsselung bei, deaktiviert jedoch die Zertifikatsvalidierung. Verwenden Sie sie nur, wenn es erforderlich ist.

Verwendete API-Befehle

Das Backend leitet die folgenden Check-Point-Management-API-Befehle weiter:

login
logout
publish
show-simple-gateways
show-generic-object
set-generic-object
show-global-properties
set-global-properties
show-vpn-communities-star
show-vpn-communities-meshed
set-vpn-community-star
set-vpn-community-meshed

Installation und Ausführung

Dieses Projekt hat keine npm-Abhängigkeiten von Drittanbietern. Es benötigt lediglich Node.js 18 oder neuer, wenn es aus dem Quellcode ausgeführt wird.

macOS aus dem Quellcode

Installieren Sie Node.js 18 oder neuer von nodejs.org oder über Homebrew.
```
brew install node
```
Laden Sie dieses Projekt herunter oder klonen Sie es.
```
git clone <repo-url>
cd CVE-Web-Check
```
Starten Sie die lokale App.
```
npm start
```
Da keine npm-Abhängigkeiten vorhanden sind, funktioniert auch Folgendes:
```
node server.js
```
Öffnen Sie die App.
```
http://127.0.0.1:3000
```

Windows aus dem Quellcode

Installieren Sie Node.js 18 oder neuer von nodejs.org.
Laden Sie das Projekt-ZIP herunter und extrahieren Sie es, oder klonen Sie das Repository mit Git für Windows.
```
git clone <repo-url>
cd CVE-Web-Check
```
Starten Sie die lokale App.
```
npm start
```
Da keine npm-Abhängigkeiten vorhanden sind, funktioniert auch Folgendes:
```
node server.js
```
Öffnen Sie die App in einem Browser.
```
http://127.0.0.1:3000
```

Optionale Portänderung

Standardmäßig lauscht die App auf 127.0.0.1:3000. Um einen anderen Port zu verwenden:

macOS:

PORT=3100 npm start

Windows PowerShell:

$env:PORT = "3100"
npm start

Öffnen Sie dann:

http://127.0.0.1:3100

Fehlerbehebung

Der Server gibt Anfragediagnosen im Terminal aus. Ein erfolgreicher Login-Versuch zeigt Zeilen ähnlich den folgenden:

Local API request requestId=abc12345 route=/api/login
Login request received target=https://mgmt.example.com/web_api/login user=admin
Check Point API request starting command=login target=https://mgmt.example.com/web_api/login

Wenn der Browser einen Login-Fehler mit einer Anfrage-ID anzeigt, der Paketmitschnitt jedoch keinen ausgehenden Versuch zum Management-Server zeigt, vergleichen Sie den Wert target= im Terminal mit Ihrem Paketmitschnitt-Filter.

Wenn überhaupt keine Zeile Local API request angezeigt wird, erreicht der Browser das lokale Backend nicht. Stellen Sie sicher, dass die App läuft und Sie die richtige lokale URL geöffnet haben.

CheckPoint-CVE-Webscanner

Beliebteste