CVE-2026-85102 — Establecimiento de túnel VPN no autenticado en Check Point

Explota CVE-2026-85102 para establecer un túnel VPN no autenticado en Check Point Security Gateway eludiendo la validación de la cadena de certificados IKE.

Aviso oficial de Check Point: sk1000117

Vulnerabilidad

CVE-2026-85102 — Elusión de la validación de la cadena de certificados VPN

Producto: Check Point Security Gateway, Check Point Spark Firewall Versiones afectadas: R81.20, R82, R82.10 (pre-Bundle T24), R80-R81.10 (todas EoS) No afectadas: R82.20
Componente: libcpcert.so — fwKeyHolder_imp::IsChainTrusted()
Causa raíz: IsChainTrusted() llama a CanonizeChain() pero ignora su valor de retorno. Incluso cuando la canonicalización de la cadena falla, la función devuelve TRUSTED.

Explotación: Un atacante puede:

1. Extraer el certificado intermedio ICA del objetivo (puerto 18190 o 443)
2. Falsificar un certificado hoja usando el DN del emisor del ICA
3. Corromper la firma del certificado ICA para provocar un fallo en CanonizeChain()
4. La cadena de certificados falsificada sigue siendo aceptada como de confianza
5. Completar la autenticación IKE sin credenciales válidas

Estructura del repositorio

CVE-2026-85102.py   # CVE-2026-85102: VPN tunnel establishment (auth bypass)
cp_postex.py             # Post-exploitation helper (tunnel management, recon)

Requisitos previos

Requisitos de la máquina atacante

• SO: Linux (se recomienda Ubuntu/Debian/Kali)
• Privilegios: root o sudo (para la configuración de la SA de IPsec del kernel)
• Python: 3.8 o posterior
• Dependencias: pip install cryptography
• Herramientas: openssl, iproute2 (comando ip), nc (netcat)

Requisitos del objetivo

• Check Point Security Gateway R81.20, R82 o R82.10
• Pre-Bundle T24
• Blade VPN habilitado con la comunidad de Remote Access configurada
• Al menos un nombre de usuario VPN conocido (p. ej., testuser)
• Puertos UDP/500 y TCP/443 accesibles desde el atacante

Uso

Establecer el túnel VPN

# Establish tunnel with certificate bypass
sudo python3 CVE-2026-85102.py<target_ip> -u <vpn_username>
# Output includes Office Mode IP, e.g., 172.16.10.3

# Clean up tunnel
sudo python3 CVE-2026-85102.py--cleanup

Asistente de post-explotación

# Establish tunnel and save state
sudo python3 cp_postex.py tunnel up <target_ip> -u <vpn_username>

# Check tunnel status
sudo python3 cp_postex.py tunnel status

# Scan gateway ports through tunnel
sudo python3 cp_postex.py recon scan
sudo python3 cp_postex.py recon scan -p 80,443,18190-18208

# Sweep internal networks through tunnel
sudo python3 cp_postex.py recon sweep 192.168.1.0/24
sudo python3 cp_postex.py recon sweep 192.168.1.0/24 -p 22

# Tear down tunnel
sudo python3 cp_postex.py tunnel down
sudo python3 cp_postex.py tunnel down -f  # Flush all xfrm state

Parámetros

Parámetro	Descripción
<target_ip>	IP de la puerta de enlace Check Point
-u <username>	Nombre de usuario VPN (predeterminado: testuser)
-l <local_ip>	IP local manual para sistemas con múltiples interfaces
-c <cert_host>	Host alternativo para la extracción del certificado ICA
--cleanup	Eliminar la configuración del túnel

Impacto

• Vector de ataque: Red (accesible desde internet)
• Complejidad del ataque: Baja (totalmente automatizado)
• Privilegios requeridos: Ninguno
• Interacción del usuario: Ninguna
• Impacto en la confidencialidad: Alto (acceso a la red protegida)
• Impacto en la integridad: Medio (puede modificar el tráfico a través del túnel)
• Impacto en la disponibilidad: Bajo
• CVSS 3.1: 9.8 (Crítico)

Detección

Revise los registros en busca de inicios de sesión anómalos de Mobile Access basados en certificados. En SmartConsole/Spark Management, vaya a Logs & Monitor / Logs & Events y busque eventos posteriores al 12 de septiembre de 2026:

product: "Mobile Access" AND action: "Log In" AND "Certificate"

Inspeccione los eventos en busca de usuarios, clientes o direcciones IP de origen no reconocidos.

Sujetos de certificado sospechosos observados:

• CN=vpn,OU=users,O=global
• CN=vpn-user,OU=users,O=global
• CN=vpnuser,OU=users,O=global

Remediación

Opciones de corrección para CVE-2026-85102

Opción 1: Check Point LivePatch (Recomendada)

Instale LivePatch Take 26 (BUNDLE_URGENT_SECURITY_UPDATE):

• R82.10: Take 26
• R82: Take 26
• R81.20: Take 26

Valide la instalación:

# Check LivePatch status
cplp list

# Expected output includes:
# cpcert:cpca*    CVE-2026-85102 CVE-2026-85103
# cpcert:iked*    CVE-2026-85102 CVE-2026-85103
# cpcert:vpn*     CVE-2026-85102 CVE-2026-85103
# cpcert:vpnrad*  CVE-2026-85102 CVE-2026-85103
# cpcert_cprid:cprid* CVE-2026-85102 CVE-2026-85103

Opción 2: Jumbo Hotfix Accumulator

• R82.10: Take 44 o posterior
• R82: Take 126 o posterior
• R81.20: Take 166 o posterior
• R81.10: Take 190 o posterior

Firewalls Spark

• Spark R82.00.10: Build 2325 o posterior
• Spark R81.10.17: Build 4968 o posterior

Detalles del parche (CVE-2026-85102)

La corrección modifica libcpcert.so:

// IsChainTrusted: Check CanonizeChain return value
result = CanonizeChain(this, trusted_ca, sorted, out, i, trust_type);
if (!result) {
    trusted_ca = NULL;
}
return trusted_ca;

// CanonizeChain: Check intermediate operation returns
if (!CopyChain(...)) return NULL;
if (!TruncateChain(...)) return NULL;

Mitigaciones (si no se puede aplicar el parche)

Para VPN de sitio a sitio

Deshabilite las reglas VPN implícitas y defina manualmente el acceso VPN para UDP/500 y UDP/4500 para direcciones IP de pares específicas. Consulte sk179346.

Para VPN de acceso remoto

Deshabilite las reglas implícitas de VPN de acceso remoto. Cree reglas explícitas de Control de Acceso que permitan los servicios de VPN de acceso remoto requeridos hacia el Security Gateway:

• UDP/500 (IKE), UDP/4500 (NAT-T), TCP/443 (SSL), TCP/80 (cuando corresponda)
• Especifique los rangos de direcciones IP de origen para los clientes de acceso remoto, si corresponde

Nota: Estas mitigaciones no son aplicables a los Spark Firewalls gestionados localmente.

Recomendaciones generales

• Restrinja la exposición del servicio VPN a redes de confianza
• Supervise los registros de sesiones VPN en busca de inicios de sesión anómalos
• Implemente segmentación de red entre los clientes VPN y las interfaces de gestión

Referencias

• Aviso de Check Point: sk1000117
• CVE-2026-85102: NVD
• RFC 5996: Especificación del protocolo IKEv2

Licencia

Este código de exploit se proporciona con fines de investigación y pruebas de seguridad. Úselo en sus propios sistemas o con autorización explícita del propietario del sistema.