CVE Web Check

Una aplicación web local basada en aprobación para escanear y remediar la posible exposición a CVE-2026-50751 y CVE-2026-50752 de Check Point utilizando comandos confiables de la API de administración de Check Point.

Esta herramienta no está creada ni respaldada por Check Point y debe usarse bajo su propio riesgo. La remediación es temporal. Check Point recomienda parchear rápidamente utilizando los parches proporcionados para cada CVE en los Avisos de seguridad de Check Point.

La aplicación se ejecuta localmente, inicia sesión en un Servidor de administración de seguridad de Check Point o MDS, escanea la configuración de VPN relevante, muestra exactamente dónde puede ser necesaria la remediación, permite que un operador apruebe los cambios, aplica los cambios a través de la API de administración y puede publicar la sesión de administración. La política aún debe instalarse después de publicar para que los cambios de remediación surtan efecto en las puertas de enlace.

Qué Verifica

Propiedad global de versión IKE: escaneo y remediación (CVE-2026-50751)

Escanea la propiedad global de VPN de acceso remoto del SMS:

remote-access.vpn-authentication-and-encryption.encryption-method

Si el valor actual no es ike_v2_only, la aplicación puede aprobar y aplicar un cambio para establecer la propiedad en:

ike_v2_only

Este escaneo está diseñado para identificar exposición donde el intercambio de claves IKEv1 obsoleto todavía está permitido globalmente para el acceso remoto VPN y el acceso móvil. IKEv1 está obsoleto y ya no es una práctica recomendada de la industria. Este cambio puede afectar a clientes VPN antiguos. Consulte SK166415 para obtener orientación adicional de Check Point.

Escaneo y remediación de clientes heredados permitidos (CVE-2026-50751)

Escanea las puertas de enlace simples y verifica en cada objeto genérico de puerta de enlace el ámbito de VPN dentro de:

realmsForBlades

La aplicación informa si los clientes heredados están admitidos o deshabilitados. Cuando se aprueba la remediación, establece el valor disabled del objeto propiedad del ámbito de VPN en true.

Texto de resultado visible para el usuario:

Los clientes heredados están deshabilitados
Los clientes heredados están admitidos

Permitir clientes heredados puede preservar el soporte para IKEv1, lo que ya no es una práctica recomendada de la industria. Recomendamos deshabilitar esta configuración a menos que los clientes heredados aún sean necesarios. Si se necesitan clientes heredados, planifique migrarlos a un cliente VPN moderno más seguro.

Escaneo y remediación de comunidades VPN sitio a sitio (CVE-2026-50752)

Escanea ambos tipos de comunidades VPN sitio a sitio de Check Point:

Comunidades en estrella
Comunidades en malla

La aplicación marca una comunidad VPN solo cuando se observan todas estas condiciones:

La VPN sitio a sitio está habilitada.
La comunidad VPN utiliza IKEv1.
Las puertas de enlace que participan en la comunidad VPN utilizan autenticación basada en certificados.

Para comunidades en estrella, la aplicación muestra las puertas de enlace centrales y las puertas de enlace satélite por separado. Los nombres de las puertas de enlace se etiquetan como administradas localmente o administradas externamente cuando los datos de la API proporcionan suficiente información sobre el tipo de objeto.

Para comunidades en malla, la aplicación obtiene los nombres de las puertas de enlace de la lista gateways de la comunidad. Las comunidades en malla no incluyen el manejo de puertas de enlace administradas externamente en esta herramienta, por lo que ese campo se muestra como no aplicable.

Cuando se aprueba la remediación, la aplicación intenta establecer el método de cifrado de la comunidad VPN solo en IKEv2. Las comunidades en estrella utilizan:

set-vpn-community-star

Las comunidades en malla utilizan:

set-vpn-community-meshed

Si una comunidad en estrella seleccionada incluye puertas de enlace administradas externamente, la aplicación advierte antes de aplicar el cambio. Debe asegurarse de que el cambio correspondiente (solo IKEv2) también se realice en el lado de la puerta de enlace administrada externamente.

Flujo de trabajo

Inicie sesión con un usuario de la API de administración de Check Point.
Haga clic en Escanear configuración de Check Point.
Revise los hallazgos de la propiedad global del SMS, los clientes heredados de las puertas de enlace y las comunidades VPN sitio a sitio.
Apruebe solo los cambios que desea aplicar.
Haga clic en el botón de aplicar correspondiente.
Publique desde la herramienta o desmarque Publicar después de aplicar con éxito si desea inspeccionar y publicar manualmente.
Instale la política después de publicar para que los cambios en las puertas de enlace surtan efecto.

Notas de seguridad

La aplicación usa HTTPS por defecto al conectarse al servidor de administración de Check Point.
No ingrese el servidor de administración como http://...; eso enviaría el inicio de sesión de la API de Check Point a través de HTTP en texto claro.
El navegador se comunica con el backend local a través de http://127.0.0.1:3000.
El nombre de usuario y la contraseña se envían desde el navegador al backend local solo en localhost.
El backend envía el nombre de usuario y la contraseña a Check Point a través de la solicitud de inicio de sesión de la API de administración.
Las contraseñas no se registran en la aplicación.
El ID de sesión de Check Point se almacena solo en la memoria del servidor durante la vida del proceso local de Node.
La opción Permitir certificado autofirmado mantiene el cifrado TLS pero deshabilita la validación del certificado. Úsela solo cuando sea necesario.

Comandos de API utilizados

El backend utiliza como proxy estos comandos de la API de administración de Check Point:

login
logout
publish
show-simple-gateways
show-generic-object
set-generic-object
show-global-properties
set-global-properties
show-vpn-communities-star
show-vpn-communities-meshed
set-vpn-community-star
set-vpn-community-meshed

Instalar y ejecutar

Este proyecto no tiene dependencias npm de terceros. Solo requiere Node.js 18 o más reciente cuando se ejecuta desde el código fuente.

macOS Desde el código fuente

Instale Node.js 18 o más reciente desde nodejs.org o Homebrew.
```
brew install node
```

Descargue o clone este proyecto.

git clone <url-del-repositorio>
cd CVE-Web-Check

Inicie la aplicación local.
```
npm start
```
Como no hay dependencias npm, esto también funciona:
```
node server.js
```
Abra la aplicación.
```
http://127.0.0.1:3000
```

Windows Desde el código fuente

Instale Node.js 18 o más reciente desde nodejs.org.
Descargue y extraiga el ZIP del proyecto, o clone el repositorio con Git para Windows.
```
git clone <url-del-repositorio>
cd CVE-Web-Check
```
Inicie la aplicación local.
```
npm start
```
Como no hay dependencias npm, esto también funciona:
```
node server.js
```
Abra la aplicación en un navegador.
```
http://127.0.0.1:3000
```

Cambio opcional de puerto

Por defecto, la aplicación escucha en 127.0.0.1:3000. Para usar otro puerto:

macOS:

PORT=3100 npm start

Windows PowerShell:

$env:PORT = "3100"
npm start

Luego abra:

http://127.0.0.1:3100

Solución de problemas

El servidor imprime diagnósticos de solicitudes en la terminal. Un intento de inicio de sesión exitoso mostrará líneas similares a:

Local API request requestId=abc12345 route=/api/login
Login request received target=https://mgmt.example.com/web_api/login user=admin
Check Point API request starting command=login target=https://mgmt.example.com/web_api/login

Si el navegador muestra un error de inicio de sesión con un ID de solicitud pero la captura de paquetes no muestra ningún intento de salida hacia el servidor de administración, compare el valor target= de la terminal con el filtro de captura de paquetes.

Si no hay ninguna línea Local API request en absoluto, el navegador no está llegando al backend local. Confirme que la aplicación se está ejecutando y que abrió la URL local correcta.

CheckPoint-CVE-Webscanner

Más Populares